Os plugins `oidcProvider` e `mcp` contêm padrões criptográficos inseguros. O documento de descoberta anuncia o algoritmo `none` em `id token signing alg values supported` (e `resource signing alg values supported` para o plugin `mcp`), o que pode permitir que partes confiantes que realizam a negociação de algoritmos sem a fixação de um algoritmo de assinatura específico aceitem tokens não assinados. Além disso, os plugins habilitam o PKCE `plain` por padrão. O manipulador de autorização aceita `code challenge method=plain` ou rebaixa silenciosamente parâmetros `code challenge method` ausentes para `plain`, o que não protege os códigos de autorização caso a URL seja exposta a partes não autorizadas. Este comportamento contradiz o método `S256` anunciado e viola os padrões OAuth 2.1.