研究者によると、iAuthFlow V2は攻撃者が制御するパスキーを登録でき、パスワードが変更されたりアクティブなセッションが取り消されたりした後でも永続的なアクセスを可能にします。