Hosted Account Experience breaks OAuth: consent page crash (RSC null deref) + COOP severs popup clients
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức phù hợp với người mới
- 38/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Sôi nổi
- Lĩnh vực
- authentication, security
Hướng nghiên cứu
Bắt đầu bằng cách tái hiện luồng popup của OpenAI trên Account Experience được host và kiểm tra các header phản hồi từ URL đăng nhập bằng curl. Sau đó, lần theo trang Reauthenticate trong UI được host bằng lỗi console được báo cáo t.reason.enqueueModel. Được xem là hoàn tất khi popup giữ được opener của nó trong suốt quá trình ủy quyền và trang được host hoàn tất mà không xảy ra lỗi dereference null được báo cáo.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Preflight checklist
- I could not find a solution in the existing issues, docs, nor discussions.
- I agree to follow this project's Code of Conduct.
- I have read and am following this repository's Contribution Guidelines.
- I have joined the Ory Community Slack.
- I am signed up to the Ory Security Patch Newsletter.
Ory Network Project
https://tender-satoshi-rtd7nibdhq.projects.oryapis.com
Describe the bug
OpenAI's public plugin-submission flow requires an MCP tool scan before a plugin can be submitted for review. The scanner successfully discovers our MCP protected-resource metadata, then starts OAuth authorization in a popup.
As soon as the popup navigates to Ory Network's hosted Account Experience, the OpenAI parent page reports:
MCP authorization failed: OAuth flow canceled.
The popup was not canceled or closed. It remains open on Ory's "Reauthenticate" page at https://auth.themolt.net/login?flow=….
The hosted response contains:
Cross-Origin-Opener-Policy: same-origin
Ory-Network-Ingress: T
That COOP policy separates the cross-origin popup into another browsing-context group and severs its opener relationship. OpenAI consequently observes the popup as closed/canceled. No authenticated MCP tools/list request occurs, so the mandatory scan remains incomplete and submission is blocked.
When continuing the login manually, the hosted Account Experience has also displayed:
This page couldn't load
Reload to try again, or go back.
with this browser console error:
TypeError: null is not an object (evaluating 't.reason.enqueueModel')
Could Ory change OAuth login/consent pages to Cross-Origin-Opener-Policy: same-origin-allow-popups, expose a project-level setting for this header, or document another supported configuration for OAuth popup clients? Please also investigate the hosted UI crash.
Reproducing the bug
- Configure an MCP server protected by Ory Network OAuth2/OIDC and dynamic client registration.
- In OpenAI's public plugin-submission portal, provide the MCP URL and select Scan Tools. This scan is mandatory before Submit for Review is enabled.
- OpenAI successfully requests
GET /.well-known/oauth-protected-resource/mcpand determines OAuth is required. - Select Authorize MCP → Continue.
- OpenAI opens the authorization flow in a popup.
- The popup navigates to
https://auth.themolt.net/login?flow=…and shows Ory's Reauthenticate UI. - The parent OpenAI page immediately reports
MCP authorization failed: OAuth flow canceled., while the popup remains open. - If login is continued manually, the Ory-hosted page may instead render This page couldn't load with the
t.reason.enqueueModelerror.
Expected: the popup remains connected to its opener, completes authorization, returns to OpenAI's callback, and allows the MCP tool scan to call tools/list.
Actual: the opener relationship is severed on navigation to the hosted Account Experience, OpenAI treats OAuth as canceled, and the required scan cannot run.
Relevant log output
OpenAI parent page:
MCP authorization failed: OAuth flow canceled.
Ory Account Experience error:
This page couldn't load
Reload to try again, or go back.
Browser console:
TypeError: null is not an object (evaluating 't.reason.enqueueModel')
Observed response headers from curl -I https://auth.themolt.net/login:
cross-origin-opener-policy: same-origin
ory-network-ingress: T
MCP-side sequence:
POST /mcp -> 415 initial scanner probe
GET /.well-known/oauth-protected-resource/mcp -> 200
No authenticated /mcp request follows.
Relevant configuration
Ory Network project:
https://tender-satoshi-rtd7nibdhq.projects.oryapis.com
Custom domain:
https://auth.themolt.net
DNS (OVH, direct CNAME; no customer-controlled proxy):
auth.themolt.net CNAME tender-satoshi-rtd7nibdhq.projects.oryapis.com
MCP server:
https://mcp.themolt.net/mcp
OAuth client:
- dynamic client registration
- authorization_code and refresh_token grants
- PKCE-compatible public client
- ChatGPT callback redirect URI
- token_endpoint_auth_method: none
Version
Ory Network hosted Account Experience, current on 2026-09-01
On which operating system are you observing this issue?
macOS
In which environment are you deploying?
Ory Network
Additional Context
The same MCP server and Ory authorization flow work through the normal ChatGPT connector. Discovery, dynamic registration, redirect URI registration, PKCE, and the authorization-code grant configuration are working. The failure is specific to OpenAI's mandatory plugin-submission scanner, which monitors a popup lifecycle.
Related but distinct: https://github.com/ory/elements/issues/587 reports a hosted consent redirect failure. This report concerns the hosted Account Experience/Network response header severing an OAuth popup, plus the separate t.reason.enqueueModel runtime failure.
The issue was drafted with Codex from captured browser, HTTP-header, OAuth-client, and server-log evidence.
- Ngôn ngữ chính
- Shell
- Star
- 96
- Fork
- 8
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Chuẩn bị môi trường
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của ory/network
-
Updating native registration flow with OIDC ID token for existing identity returns breaking responseĐang mởbug
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 35/100
-
Ory Account Experience (hosted UI) registration trait setup via creation of registration flowĐang mởfeat
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 25/100
-
selfservice.flows.login.style reverts to identifier_first despite explicitly setting passwordĐang mởbug
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 30/100
-
feat
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 35/100
-
User settings flow "back" button takes you to homepageCó thể làm lại được @jonas-jonas đã nhận 384 ngày trước và không có pull request nào đang mở. Đang mởbug
Issue tương tự
-
type: bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
catppuccin/kde#152 ·
-
update-request
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
msys2/MINGW-packages#32008 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bot-found bug priority: P3
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 84/100
madenvel/KalinkaPlayer#179 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 88/100
Maintainer thường phản hồi trong vòng 1 ngày
-
[platform-assessment 2026-09]Đang mởdocumentation
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100