Пользователь может включить свою собственную учетную запись, если она была отключена администратором, в то время как у пользователя все еще есть действующий сеанс. Кроме того, имя пользователя неправильно очищается в обзоре пользователей администратора. Это позволяет XSS-атаке, которая позволяет злоумышленнику с низкими привилегиями выполнять произвольный JavaScript в контексте учетной записи администратора.