این آسیب‌پذیری زمانی رخ می‌دهد که کد یک‌بار مصرف ارسالی سامانه به کاربر، از طریق پیامک، طول مشخصی نداشته باشد و هنگام ورود کد در سامانه توسط کاربر نیز تعداد کاراکتر کد دریافتی بررسی نشود. مهاجم با سوء استفاده از این آسیب‌پذیری می‌تواند مقادیری را از طریق فیلد کد تزریق کند و آسیب‌پذیری‌های ثانویه‌ای مانند SQL Injection را سبب شود.