на страницу, в которой есть уязвимый параметр. и передавать нужно последним параметр(в случае если их несколько)