В MAX есть доступ к фото по ссылке: Уязвимость или нет? По ФСТЭК и CVSS

Я немного поковырял эти ссылки и получил такой результат:
- Заголовок/префикс фиксированный и не меняется от картинки к картинке. Он чуть больше, чем 144 бита, но это не суть важно
- ID картинки тоже больше, на него отводится 21 символ с 64-символьным алфавитом
- 1 символ неизвестного предназначения, который меняется в зависимости от указанного ID пользователя
- ID пользователя, который можно заменить на любой другой известный ID, например, свой.
Если заранее известен ID картинки, то можно без проблем перебрать 1 символ со своим ID и получить доступ к картинке. Перебирать ID картинок бессмысленно, так как это займет просто бесконечное количество времени, о чем было сказано выше.
Кроме того, вероятно, ID картинки - это хеш от какой-то ее части, т.к. при отправке одинаковых изображений им присваивается один и тот же ID. Может, конечно, сделаны какие-то проверки на уровне сервера и если ее отпечаток совпадает, то новый объект не создается, но, думаю, так сильно никто не парился и в ссылке указывается хеш от картинки. Моих навыков реверса не хватит, чтобы докопаться до истины, но пища для размышления имеется