Превышение привилегий через манипуляцию с атрибутами аккаунта

[JBFW]

Но как это возможно?

У них там что, не проверяется соответствие сессии с правами юзера?

Или это такая особенность веб приложений, где логика вынесена на клиента?

[JBFW]

- скажи пароль!

- пароль!

- проходи...

[YegorP]

А дальше-то что с этим делать? Мелкий магазинчик, заказы по-любому проверяются вручную. Особенно если сразу много таких умников придёт.

[sic]

Скорее всего в логике перехода checkout now все равно все проверяется.