ログインせずに誰かのメール設定を変更できる from infosecwriteups.com

「購読管理」のメール設定ページにバグが見つかりました。
サーバーがリクエストを受け入れ、あたかも私が誰かの購読を解除したかのように、別の誰かの購読を解除していたのです！認証もトークンも不要でした。
「もし別の誰かを登録したらどうなりますか？もしその人がこの件についてもっと知りたいと思ったらどうなりますか？」とユーザーは尋ねました。
「試してみました…特別なことは何もしていません」とメッセージには書かれていました。
うまくいきました。