توجد مشكلة تتمثل في فشل البرنامج في التحقق من صحة معلمة الحالة OAuth مقابل الرقم العشوائي (nonce) المخزن عند استخدام تخزين الحالة المدعوم بملفات تعريف الارتباط دون استخدام PKCE (مفتاح الإثبات لتبادل الكود). في دالة `parseGenericState`، قام فرع ملفات تعريف الارتباط بفك تشفير ملف تعريف الارتباط `oauth state` والتحقق من صلاحيته، لكنه لم يقارن معلمة الاستعلام `state` الواردة من OAuth بقيمة nonce التي تم إصدارها عند تسجيل الدخول. وهذا يسمح للمهاجمين بتزوير معلمة `state` وتقديم رمز تفويض يتحكم فيه المهاجم إلى نقطة النهاية `/api/auth/oauth2/callback/<providerId>`. ويمكن أن يؤدي ذلك إلى «تسجيل الدخول القسري» (CSRF في استدعاء OAuth)، حيث يتم وضع متصفح الضحية في جلسة عمل مرتبطة بالهوية الخارجية للمهاجم، أو «ربط الحساب الدائم»، حيث يتم ربط الحساب الخارجي للمهاجم بملف تعريف الضحية الذي تمت مصادقته.