Golf Compete foreUPのREST APIで2つの脆弱性が発見されました。最初の脆弱性は、顧客レコードのレスポンス内に直接、マーチャントAPI認証情報が公開されるというものでした。ユーザー名、パスワード、マーチャントIDを含むこれらの認証情報により、どのユーザーでも決済処理業者アカウントにアクセスできるようになりました。さらに、これらの認証情報は同じ施設内のすべての顧客で同一でした。2番目の脆弱性は、オブジェクトレベルの認可チェックの欠如に関わるものでした。この欠陥は、Broken Object Level AuthorizationおよびInsecure Direct Object Referencesとしても知られており、APIリクエストでgolfer_idを変更することで、ユーザーが任意の顧客の完全なプロファイルを取得することを可能にしました。これには、個人情報、支払いトークン、取引履歴などの機密情報が含まれていました。両方の脆弱性を組み合わせることで、攻撃者は任意の顧客のレコードからマーチャント認証情報を取得することができました。単一の低権限の顧客アカウントで、任意の顧客のプロファイル、保存された支払いトークン、および請求履歴にアクセスすることができました。共有Web APIであったため、foreUPを使用しているすべての施設が影響を受けました。ある施設からの顧客が、別の施設のマーチャント情報にアクセスすることができました。幸いなことに、foreUPは2026年7月26日に両方の脆弱性が修正されたことを確認しました。ユーザーは、フィッシングや個人情報窃盗に引き続き注意するよう推奨されています。