یک آسیب‌پذیری بحرانی (Critical) در نرم‌افزار Postiz شناسایی شده است که به دلیل ضعف در مدیریت توکن‌ها رخ می‌دهد. این نقص امنیتی ناشی از استفاده از یک کلید مشترک (Shared Secret) برای امضای انواع مختلف توکن‌ها، از جمله توکن‌های نشست (Session)، دعوت‌نامه (Invitation) و بازنشانی رمز عبور (Password Reset) است.
در این سناریو، سیستم هیچ تمایزی بین انواع توکن‌ها قائل نمی‌شود و فاقد نشانگری برای تعیین نوع توکن است. علاوه بر این، یک مسیر (Route) مشخص که وظیفه به‌روزرسانی اعتبارنامه‌ها در کانال افزونه مرورگر (Browser-extension) را بر عهده دارد، داده‌های ارسالی در درخواست را امضا کرده و نتیجه را ذخیره می‌کند، به طوری که کاربر می‌تواند آن را مجدداً بخواند.
مهاجم می‌تواند با سوءاستفاده از این مکانیزم، یک توکن معتبر حاوی ادعاهای (Claims) دلخواه خود ایجاد کند. این توکن‌های جعلی می‌توانند توسط اپلیکیشن به عنوان یک نشست (Session) معتبر، یک دعوت‌نامه سازمانی با نقش‌های انتخابی یا یک توکن برای بازنشانی رمز عبور پذیرفته شوند که در نهایت منجر به تسلط بر حساب‌های کاربری و ارتقاء سطح دسترسی می‌گردد.
