Hệ thống đang bỏ qua kiểm tra quan hệ sở hữu đối tượng. Bệnh nhân An (bn_an) có thể đọc trộm và chỉnh sửa trái phép Bệnh án số 03 của Bình (bn_binh).