Пока не совсем ясно, насколько реальна эта простота с JWT. Такое ощущение, что где-то могла быть халтура или баг, что пароль «123456» сработал с первого раза — обычно так просто не бывает. С загрузкой файлов тоже подозрительно, что обход столько раз проверили, а защиты толком не сработали. Лучше еще пару раз пересмотреть логику, а не принимать за чистую монету.