اپلیکیشن پیام‌رسان traQ که برای Digital Creators Club traP توسعه یافته است، با یک آسیب‌پذیری امنیتی در پیاده‌سازی پروتکل OAuth2 مواجه شده است. این نقص که در نسخه‌های پیش از 3.28.3 وجود دارد، به مهاجمان اجازه می‌دهد تا از طریق درخواست‌های احراز هویت بی‌صدا (silent authorization) با استفاده از پارامتر prompt=none، محدودیت‌های تعیین شده توسط کاربر را دور بزنند.
در این سناریو، زمانی که پارامتر scope خالی یا حذف شده باشد، سیستم بررسی صحت رضایت کاربر (consent check) را به درستی انجام نمی‌دهد. در نتیجه، حتی اگر کاربر پیش از این تنها با دسترسی به برخی از محدوده‌های (scopes) خاص موافقت کرده باشد، یک مهاجم که کنترل یک OAuth client را در اختیار دارد، می‌تواند یک Access Token حاوی تمامی مجوزهای ثبت شده برای آن کلاینت را بدون نیاز به تایید مجدد کاربر دریافت کند.
این آسیب‌پذیری می‌تواند منجر به دسترسی غیرمجاز به داده‌ها یا عملکردهایی شود که کاربر هرگز اجازه دسترسی به آن‌ها را صادر نکرده است. کاربران و مدیران سیستم توصیه می‌شوند برای جلوگیری از این خطر، اپلیکیشن خود را به آخرین نسخه موجود (3.28.3 یا بالاتر) به‌روزرسانی کنند.
