O provedor do Facebook contém um bypass de autenticação que permite que atacantes não autenticados façam o replay de id tokens OIDC capturados. Isso ocorre devido à falta de validação da reivindicação de nonce na função `getUserByOIDCToken()` dentro do arquivo FacebookProvider.php. Um atacante com um id token válido e não expirado, emitido para o mesmo Facebook App ID, pode enviá-lo para o endpoint `userFromToken()`. Como o sistema valida a assinatura, `aud` (audiência) e `iss` (emissor), mas falha em realizar a comparação de nonce vinculada à sessão, o atacante pode obter acesso não autorizado a contas de vítimas.