تحتوي المكونات الإضافية `oidcProvider` و`mcp` على إعدادات افتراضية غير آمنة للتشفير. يُعلن مستند الاكتشاف عن خوارزمية `none` في `id token signing alg values supported` (و`resource signing alg values supported` بالنسبة للمكون الإضافي `mcp`)، مما قد يسمح للأطراف المعتمدة التي تجري تفاوضًا على الخوارزمية دون التثبيت على خوارزمية توقيع محددة بقبول الرموز غير الموقعة. بالإضافة إلى ذلك، تقوم المكونات الإضافية بتمكين PKCE `plain` بشكل افتراضي. يقبل معالج التفويض `code challenge method=plain` أو يقوم بصمت بتخفيض معلمات `code challenge method` المفقودة إلى `plain`، مما يؤدي إلى فشل حماية رموز التفويض في حالة تعرض عنوان URL لأطراف غير مصرح لها. يتعارض هذا السلوك مع الطريقة المعلنة `S256` وينتهك معايير OAuth 2.1.