Existe uma falha de bypass de autenticação em `oauth-token.service.ts` onde o Proof Key for Code Exchange (PKCE) é incorretamente tratado como um substituto para a autenticação de cliente confidencial. Isso faz com que o sistema ignore a verificação do segredo do cliente quando este é omitido. Um invasor que tenha capturado um código de autorização e o verificador PKCE pode gerar tokens de acesso e tokens de atualização de 60 dias para um cliente confidencial sem possuir o segredo do cliente necessário.