Um problema de atribuição em massa existe na API de consulta OnsiteDocument do portal do paciente. Esta falha permite que usuários autenticados definam filtros de critérios bitwise por meio de parâmetros de requisição, que são então inseridos sem aspas na cláusula SQL WHERE. Um invasor pode realizar a injeção de SQL usando parâmetros como `Id BitwiseAnd` para acessar qualquer tabela do banco de dados, expondo potencialmente registros de outros pacientes e hashes de senhas da equipe.