Si verifica una confusione tra richieste di utenti diversi quando il software associa per errore una richiesta o la relativa risposta alla richiesta di un altro utente. Questo può accadere quando l’elaborazione concorrente o asincrona gestisce in modo errato lo stato delle richieste, per esempio durante la gestione di un errore, facendo sì che dati destinati a un utente vengano recapitati o applicati nel contesto di un altro utente.
Nella sicurezza informatica, questo può compromettere la riservatezza o l’integrità senza necessariamente indicare una presa di controllo dell’account. Per esempio, un server web o un’applicazione che gestisce in modo errato i flussi HTTP/2 multiplexati potrebbe associare una risposta alla richiesta sbagliata. I difensori dovrebbero applicare le correzioni software pertinenti, esaminare le configurazioni e la gestione degli errori e indagare su comportamenti insoliti tra richieste. Una vulnerabilità descrive un rischio possibile; servono prove prima di concludere che si sia verificata un’effettiva esposizione.