Lançamento SCORM do Skillable: parâmetro userId não validado contra token de sessão permite bypass de alocação e DoS entre usuários

O serviço Skillable, integrado a LMS via SCORM, valida o token de lançamento mas não confere se o parâmetro userId da requisição corresponde ao token. Isso permite que um atacante manipule o userId para consumir alocações de outros usuários, resultando em negação de serviço. Recomenda-se monitorar atividades suspeitas até que uma correção seja disponibilizada.