توجد ثغرة تسمح للمهاجمين غير المصرح لهم بجعل الخادم يرسل طلبات HTTP عن طريق تسجيل عميل OAuth2 باستخدام `jwks uri` غير مُتحقق منه. يمكن تفعيل ذلك عبر نقطة نهاية فحص الرمز (token introspection endpoint) باستخدام `client assertion` غير موقع، مما يسمح بفحص الخدمات الداخلية والوصول إلى نقاط نهاية بيانات cloud metadata. تزوير الطلبات من جهة الخادم (Server-side request forgery) هو خلل يتم فيه خداع الخادم لإرسال طلبات إلى موقع غير مقصود.