codeをredirect_uriに紐付け検証する。redirect_uriは、スターターとアクセストークン・リクエストで必要とする。codeのオンライン推測に加え(client_id、client_secret、)redirect_uriが必要。悪意のあるClientが、アクセストークンを取得できる。共通的な影響には合致しない(アクセストークンの取得が可能)。†クライアントが登録される。フロー中のユーザ同意のシミュレートする(など)。†クライアントに対するDNSまたはARPスプーフィングが行われる。悪意のあるClientに誘導してcodeを入手する。前述の考慮事項の、クライアント登録機能で登録されたクライアント版。†クライアントが登録される。悪意のあるClientに対するDNSまたはARPスプーフィングが行われる。悪意のあるClientに誘導してcodeを入手する。登録機能で登録されたクライアントなので、クライアント認証は対策として無効。攻撃者は、被害者のアカウントで正規のClientのリソースにアクセス可能。共通的な影響には合致しない(アクセストークンの取得が可能)。Serverの既存のクライアントのredirect_uriを編集・追加する。悪意のあるClientに誘導してcode(state)を取得する。codeを他の正規のクライアントに向けてcode(state)を置換する。他のフローを使用する。脆弱なClientによって被害者は攻撃者のアカウントでリソースにアクセス可能。共通的な影響には合致しない(アクセストークンの取得が可能)。攻撃者は、脆弱なClientをターゲットとしたcodeを収集し、CSRFのリンクを踏ませるなどのCSRF攻撃を行う。†"state"パラメタを使用し、CSRFを防止する。共通的な影響には合致しない(アクセストークンの取得が可能)。†ユーザを偽造サイトに誘導する。ダミーボタンのセットの上に、透明なiFrameでターゲットサイトを読み込む。ボタンをクリックすると、実際には隠しページのAuthorizeボタンなどをクリック。共通的な影響には合致しない(アクセストークンの取得が可能)。†クライアントが登録される。既存ログイン・セッションを持っている。POST要求を自動的に送信する。別のスコープを静かに要求する。使用しない(行わない)。パスワード認証とユーザー同意を1つのフォームにまとめ、CAPTCHAを使用するか、ワンタイム秘密をリソース所有者に使用する。Ownerに通知する。†DOSにより、codeプールなどのリソースを枯渇させる。生成codeを使用して、redirect_uriにボットネットで攻撃する。†"state"パラメタを使用し負荷軽減を行う。無効なcode要求の数がしきい値を超えるクライアントからの接続を制限/禁止する。ユーザ・アカウントからの接続を制限/禁止する(Client側で認証が必要)。外部ログイン・シナリオで、被害者の身元を使用してログインしてしまう。外部ログイン・シナリオでは、userinfoエンドポイントに対するリクエストによってログインが完了する。犠牲者の有効なcode(state)を収集する正規のClientのログイン・プロセスを開始させ、てcode(state)置換を行う。漏洩した利用者のcode置換を外部ログイン・シナリオで利用する。identifierでClientに直接返される。refererを介して漏洩しない。Ownerの、そのscopeのリソースにアクセス可能になる。