Спасибо за такое подробное объяснение! Наконец-то хоть понятно, что уязвимость — это не просто баг, а целая цепочка ошибок и недосмотров. Особенно запомнилась штука с CSRF и старым софтом — реально бывает, что из-за лени обновить всё может прийтись потом дорого платить. Буду теперь внимательнее с фильтрацией данных и HTTPS.