As chaves de confirmação de e-mail do cliente são geradas usando `md5(uniqid())`, enquanto os tokens de redefinição de senha de clientes e administradores utilizam a função não criptográfica `uniqHash()`. Atacantes não autenticados podem realizar força bruta na chave de confirmação de aproximadamente 20 bits através do endpoint `confirmAction`, que não possui limitação de taxa, para fazer login como clientes pendentes. Além disso, tokens de redefinição de administrador podem ser previstos após a recuperação do estado do gerador.