CSRF token kullanılmıyor mu cidden ya? kodlarda da göremedim, hesabımda yok girip bakayım XSS açığı değil bu arada, o başka bir konu. Ama güzel yakalamışsınız, dışarıdan gelen post işlemlerini işleme almaları çok sıkıntılı bir durum.