Уязвимость «ВКонтакте» позволяла получить прямые ссылки на приватные фотографии

Угу. С этим мне помогли ребята из администрации ВКонтакте. На время одобрили одно приложение, через которое я и вывел все полученные голоса.

Уязвимость «ВКонтакте» позволяла получить прямые ссылки на приватные фотографии

Адрес сайта в настройках нужен только для IFrame приложений и для приложений, которые используют клиентскую авторизацию Open API.

Уязвимость «ВКонтакте» позволяла получить прямые ссылки на приватные фотографии

Это обычное поведение. Не разработчик приложения запрашивает права, а я сам:

https://oauth.vk.com/authorize?client_id=#{app_id}&response_type=token&display=mobile&scope=474367

Таким образом авторизую самого себя в этом приложении и получаю токен.

Если вы про scope, то он в настройках приложений не захардкожен и легко меняется на клиенте на любой желаемый.