В адресе запроса при восстановлении пароля передаётся новый пароль
Разбирая трафик, тестировщик увидел запрос GET /api/password/reset?email=anna@mail.ru&new_password=Qwerty123. Функционально восстановление пароля работает.
Как оценить находку?
- Дефект безопасности: пароль попадёт в логи
- Не дефект: соединение защищено HTTPS
- Незначительный дефект оформления API
- Не дефект: функция работает