Existe uma condição de corrida no mecanismo de limitação de login da API. Isso permite que invasores não autenticados ignorem o limite `max login attempts` enviando solicitações simultâneas. Ao disparar rajadas de tentativas de login simultâneas para os endpoints 'authenticate' e 'run as', um invasor pode passar pela verificação de bloqueio antes que as falhas anteriores sejam registradas, facilitando a adivinhação ilimitada de senhas.