O problema ocorre quando a opção do Parse Server `allowCustomObjectId: true` está definida, permitindo que um invasor crie um novo usuário com um ID de objeto personalizado que explora a vulnerabilidade e adquire privilégios de uma função específica.