A ausência de autenticação no manipulador POST de streams em tempo real permite que invasores não autenticados injetem dados arbitrários em streams de execução em qualquer ambiente, incluindo produção. Isso ocorre porque o manipulador `action` no arquivo `apps/webapp/app/routes/realtime.v1.streams.$runId.$streamId.ts` não possui um wrapper de autenticação. Além disso, o sistema realiza a busca de execuções usando a variável `friendlyId` sem verificar o `runtimeEnvironmentId`, e esses identificadores seguem padrões previsíveis. O endpoint de API afetado é '/realtime/v1/streams/:runId/:streamId'.