يوجد خلل في تجاوز المصادقة في `oauth-token.service.ts` حيث يتم التعامل مع مفتاح إثبات تبادل الرموز (PKCE) بشكل خاطئ كبديل لمصادقة العميل السرية. يؤدي ذلك إلى تخطي التحقق من سر العميل عند حذفه. يمكن للمهاجم الذي حصل على رمز تفويض ومتحقق PKCE إنشاء رموز وصول ورموز تحديث صالحة لمدة 60 يومًا لعميل سري دون معرفة سر العميل المطلوب.