Uma expressão regular incorreta permite que um invasor ignore a validação da URI de redirecionamento OAuth. Um invasor com conhecimento da URL de retorno registrada de um aplicativo OAuth de primeira parte pode criar um link de autorização malicioso. Se uma vítima clicar nesse link, o código de autorização OAuth é redirecionado para um domínio controlado pelo invasor, potencialmente concedendo acesso não autorizado à conta da vítima com base nos escopos concedidos ao aplicativo OAuth.