トークン発行で、認証したクライアントと別の client_id の権限で認可されてしまう

何が起きたか

トークングラントの処理で、クライアント認証後もリクエスト本文の client_id と認証済みクライアントが一致するか確認していませんでした。そのため権限の低いコンフィデンシャルクライアントが別クライアントの client_id を送ると、そのクライアントのグラント種別やスコープでトークンを得られます。client_id 引数で認可を判断する RequestValidator を実装しているアプリが影響を受けます。