Die Schwachstelle betrifft die Rechteprüfung bei Zugriffstoken für Code-Repositories: Token, die ausschließlich für öffentliche Repositories berechtigt sind, können dennoch die Quell-Branches von Pull Requests in privaten Repositories aktualisieren. Wer ein solches eingeschränktes Token besitzt, kann damit Änderungen in diese privaten Branches schreiben, obwohl ihm der Zugriff auf private Repositories verwehrt sein sollte. Um welche Plattform es sich handelt und wie die Prüfung im Einzelnen versagt, nennt die öffentliche Beschreibung nicht.