يحتوي مزود خدمة Facebook على ثغرة في عملية المصادقة تسمح للمهاجمين غير المصادق عليهم بإعادة استخدام رموز `id tokens` الخاصة بـ OIDC التي تم التقاطها. ويحدث ذلك بسبب عدم وجود عملية التحقق من صحة المطالبة `nonce` في الدالة `getUserByOIDCToken()` الموجودة في ملف FacebookProvider.php. يمكن للمهاجم الذي يمتلك رمز id token صالحًا ولم تنته صلاحيته، تم إصداره لنفس معرّف تطبيق Facebook، إرساله إلى نقطة النهاية `userFromToken()`. ونظرًا لأن النظام يتحقق من صحة التوقيع و`aud` (الجمهور) و`iss` (المُصدر)، لكنه يفشل في إجراء مقارنة رقم العشوائي المرتبط بالجلسة، يمكن للمهاجم الحصول على وصول غير مصرح به إلى حسابات الضحايا.