يسمح تعبير عادي غير صحيح للمهاجم بتجاوز التحقق من صحة عنوان URI لإعادة التوجيه في OAuth. يمكن للمهاجم الذي يعرف عنوان URL للرد المسجل لتطبيق OAuth التابع للطرف الأول إنشاء رابط تفويض ضار. إذا نقرت الضحية على هذا الرابط، يتم إعادة توجيه رمز تفويض OAuth إلى نطاق يسيطر عليه المهاجم، مما قد يمنح وصولاً غير مصرح به إلى حساب الضحية بناءً على النطاقات الممنوحة لتطبيق OAuth.