"Публичная форма" > "Скрытые поля"

[Develop-Soft]

Обработчик запроса допускает инъекцию данных в поля, указанные как "скрытые".

[support]

Поля не скрываются физически, а просто делаются скрытыми. Так сделано специально. Много кто используете JS код для подстановки необходимых значений в скрытые поля.

[Develop-Soft]

Я о публичной форме. Той, которую кому-то выдают заполнять без авторизации (в гугле находил такие на чьих-то сайтах, типа анкет).
Они физически вроде отсутствуют, но если их "добавить" на странице или долить в Content-Disposion - можно заполнить те, поля, которые публичному пользователю "запрещены".
Потенциальная дыра в общем...