Roy war zunächst davon ausgegangen, in Meta Horizon Managed Solutions ein Autorisierungsproblem gefunden zu haben. Die Plattform dient Unternehmen zur Verwaltung von Meta-Quest-Geräten und Nutzern. Im Verlauf seiner Untersuchung stellte sich jedoch heraus, dass das Problem breiter angelegt war und Metas Backend für den Support betraf.
Nach Angaben des Forschers handelte es sich um eine Kombination aus fehlender Autorisierung, fehlerhafter Zugriffskontrolle und einer unsicheren direkten Objektreferenz, also einem IDOR-Problem. In Kette ausnutzbar hätten diese Schwachstellen das Auflisten von Meta-Support-Fallnummern und den Zugriff auf Support-Anfragen ermöglicht.
Roy zufolge hätte ein Angreifer dadurch E-Mail- und Chat-Unterhaltungen zwischen Nutzern und dem Meta-Support abrufen können. Ebenso betroffen waren demnach Details zu Support-Fällen, Dateien, die über Support-Anfragen an das Unternehmen übermittelt wurden, sowie persönliche Angaben und Kontaktdaten, die Nutzer mit dem Support geteilt hatten.
Darüber hinaus hätte die Lücke laut Roy erlaubt, im Namen von Organisationen, die Meta Horizon Managed Solutions einsetzen, Support-Anfragen zu erstellen. Auch Support-Abläufe hätten sich verändern lassen, einschließlich einer Änderung des Fallstatus. Zudem wäre es möglich gewesen, nicht autorisierte Abonnenten zu Support-Fällen hinzuzufügen.
Roy meldete die Schwachstelle im Januar 2026 an Meta. Wie er erklärte, rollte das Unternehmen die Patches im April aus. Nach seinen Angaben fand Meta keine Belege dafür, dass die Schwachstelle bösartig ausgenutzt wurde.
In der vergangenen Woche machte Roy seine Erkenntnisse öffentlich und sagte SecurityWeek, er habe von Meta eine Bug-Bounty in Höhe von 78.000 US-Dollar erhalten. Meta reagierte laut SecurityWeek nicht auf die Bitte, Roys Angaben zu bestätigen. Dass Roy zu den prominenten Teilnehmern des Programms zählt, lässt sich allerdings daran ablesen, dass er auf Metas Bug-Bounty-Bestenliste für 2026 als einer der Top-Forscher geführt wird.