O middleware de autorização em `sequencing-server/src/app.ts` utiliza a função `getHasuraSession()` para determinar a função de sessão do chamador. Esta função prioriza o objeto `session variables` fornecido no corpo da requisição JSON do cliente em vez das reivindicações JWT no cabeçalho de Autorização, sem verificar se a requisição originou-se do Hasura. Um invasor não autenticado pode ignorar as verificações de função incluindo `{"session variables":{"x-hasura-role":"aerie admin"}}` no corpo da requisição para o endpoint 'POST /command-expansion/put-expansion', permitindo a inserção de regras de expansão arbitrárias em `sequencing.expansion rule`. Adicionalmente, o endpoint 'POST /put-dictionary' está incluído na `ENDPOINTS WHITELIST` e não requer autenticação, permitindo gravações não autenticadas em dicionários de comando.