Existe uma injeção de caminho de URL no adaptador Microsoft Graph do Swoosh. O componente `Swoosh.Adapters.MsGraph` constrói a URL de requisição da API do Microsoft Graph interpolando o endereço de e-mail do remetente no caminho `/users/{from}/sendMail` sem validação ou codificação percentual (percent-encoding). Em aplicações onde o endereço `from` é derivado de entradas não confiáveis ou influenciadas pelo usuário, um invasor pode usar caracteres especiais de URL, como `/`, `?` ou `#`, na parte local do endereço para escapar do segmento de caminho pretendido. Isso permite que o invasor reescreva o caminho da requisição e a string de consulta, redirecionando a requisição POST autenticada para outros endpoints do Graph dentro dos escopos do token, utilizando o token de portador (bearer token) da aplicação.