↑
ребят, я там предупреждения раздал не просто так, посты не по теме потрите, пожалуйста.
уязвимость в том, что у заголовка cache-control не был указан max-age, в связи с этим мы могли получить файл из кеша, т. к. сессия не истекала