ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
توجد ثغرة مرجع الكائن المباشر غير الآمن (IDOR) في واجهة برمجة التطبيقات MatchPoint API، والتي تعتمد على ترويسة HTTP المسمى actingasuser دون التحقق من تفويض الطالب للمستخدم المحدد. يتيح التلاعب بالمعرفات التسلسلية الوصول إلى البيانات الشخصية، والمصرفية، والمالية، والرسائل الخاصة، ورموز الاستجابة السريعة (QR) للوصول المادي، فضلاً عن القدرة على تعديل حسابات الأطراف الثالثة، وتغيير كلمات المرور، وانتحال صفة المستخدمين، وتحويل الأرصدة الافتراضية.