Ocorre uma referência direta insegura a objetos na API REST Documents para o módulo de tickets. Usuários autenticados da API podem acessar anexos de tickets pertencentes a outras empresas porque o sistema falha ao realizar uma verificação de escopo da empresa. Essa verificação é normalmente aplicada via uma variável de sessão durante a autenticação pública de tickets, a qual não é definida durante a autenticação da API REST. Usuários com permissão de leitura de tickets podem enumerar identificadores de tickets previsíveis e fornecê-los ao endpoint de documentos ou ao caminho de download para recuperar arquivos sensíveis, como faturas e contratos, pertencentes a terceiros.