Originariamente inviato da lnessuno

A volte basta modificare l'url per trovarsi tutti i dati in chiaro, perché il dev si è dimenticato di proteggere l'accesso...
E' vero, anche questo è vero. Potrebbe essere il caso. E allora sarebbe giusto bastonare i gestori del sito, ma senza far andare di mezzo le persone proprietarie di qui numeri.

C'era proprio un caso così da me al lavoro: inserendo nell'URL l'identificativo un utente, conoscendo l'indirizzo della pagina di gestione dei dati personali, era possibile per chiunque, anche chi non aveva fatto login al sito, non solo vedere i suoi dati personali ma anche modificargli la password!