Um problema de autenticação fraca existe no fluxo de autenticação JWT. Um invasor com um JSON Web Token (JWT) válido do provedor de identidade configurado pode se autenticar como qualquer usuário existente explorando uma busca de fallback baseada em e-mail. Isso ocorre porque o sistema não verifica a reivindicação `email verified`. Ao apresentar um token com um endereço de e-mail não verificado que corresponda à conta de uma vítima, um invasor pode herdar a função da vítima, incluindo privilégios de `proxy admin`. Isso pode levar à substituição permanente da vinculação de identidade armazenada da vítima, concedendo acesso não autorizado persistente a endpoints administrativos que expõem chaves de API e gerenciamento de usuários.