يسمح نقص في التفويض بالتصفح القسري. يفشل النموذج في تقييد الوصول إلى مسارات OAuth2 الخاصة به، مما قد يسمح لزائر مجهول بربط تكامل الموقع بحساب تحت سيطرته. يتطلب هذا أن يحصل المهاجم على قيمة حالة OAuth2 من عملية تهيئة رمز نظام سابقة، مثل سجلات وصول الخادم.