CSRF token kullanılmıyor mu cidden ya? kodlarda da göremedim, hesabımda yok girip bakayım
XSS açığı değil bu arada, o başka bir konu. Ama güzel yakalamışsınız, dışarıdan gelen post işlemlerini işleme almaları çok sıkıntılı bir durum.
Anonim Hesap'ta soru sormak için büyük ihtimal herhangi bir token kullanmıyorlar. Ama şifre değiştirme işlemi için kullanılıyorlar videoda da görünüyor. Dediğin gibi bu XSS açığı değil bu aslında bir açıkta değil ama şifre değiştirme gibi işlemi bu şekilde kullanmazsın ancak belki token'nın süresi varken kendi şifreni değiştirebilirsin
ama başka bir kullanıcı oraya tıklayınca şifresi de değişmez