controle de acesso quebrado/lDOR, pois a ausência de verificação robusta permite que usuários acessem recursos de outros indevidamente.

ataque de injeção, pois o sistema permite que parâmetros maliciosos sejam introduzidos na URL para manipular o comportamento do banco de dados e deixar que dados sensíveis sejam acessados.

configuração incorreta de segurança, pois o sistema foi implantado com permissões padrão e informações expostas no ambiente de produção.

design inseguro, pois a modelagem de ameaças não previu corretamente a necessidade de validação das permissões associadas ao identificador na URL.

falhas criptográficas, pois a transmissão dos dados na URL ocorre sem proteção adequada, possibilitando a interceptação de informações.