Anonim Hesap'ta soru sormak için büyük ihtimal herhangi bir token kullanmıyorlar. Ama şifre değiştirme işlemi için kullanılıyorlar videoda da görünüyor. Dediğin gibi bu XSS açığı değil bu aslında bir açıkta değil ama şifre değiştirme gibi işlemi bu şekilde kullanmazsın ancak belki token'nın süresi varken kendi şifreni değiştirebilirsin
ama başka bir kullanıcı oraya tıklayınca şifresi de değişmez
Anonim soru sormak için token kullanmıyorlar o konu kesin, ben de kodlarda göremedim. O zaman şöyle bir durum var, tarayıcıda oturum açıldığı için şifre değişikliği sayfasından alınan kaynakta 1 kerelik oluşturulan token'da geliyor. Haliyle süresi dolmamış token dışarıdan kullanılabiliyor, fakat 2. defa o butona tıklasa şifre değişikliğini kabul etmeyecek çünkü token kullanılmış ve pasif hale gelecek. Hatta sitesine eklediği kodları sen ya da ben tıklasam bile askfm şifrem değişmeyecek çünkü o tokenlar hem bana ait değil hem de 1 kere kullanılmış ya da süresi dolmuş olacak. Olay aslında tarayıcıda açılmış oturumuna ait bilgiler değiştirilebiliyor.