پلتفرم جامعه‌محور ONEARMY در نسخه‌های پیش از 2.165.2 دارای یک آسیب‌پذیری از نوع ارجاع مستقیم ناامن به شیء (Insecure Direct Object Reference یا IDOR) است. این نقص امنیتی به کاربران احراز هویت شده (Authenticated users) اجازه می‌دهد تا از طریق درخواست POST /api/notifications/:id/read، اعلان‌های مربوط به سایر کاربران را به عنوان «خوانده شده» علامت‌گذاری کنند.
مهاجمان می‌توانند با پیمایش (Iterate) شناسه‌های متوالی اعلان‌ها، نشانگرهای اعلان‌های خوانده نشده را برای کاربران دیگر در همان محیط سازمان (Tenant) مخفی کنند. این اقدام باعث می‌شود کاربران از دریافت پاسخ‌ها، نظرات و اطلاعیه‌های مربوط به محتوای جدید بی‌اطلاع بمانند.
