パラメータ改ざんによる権限昇格

あなたはサーバー上では一般ユーザー。管理者機能ボタンのフォームには <input type="hidden" name="isAdmin" value="false"> が隠れている。 対策OFFでは、この hidden を開発者ツールで true に書き換えるだけで 管理者機能が使えてしまう。

試す: 送信前に開発者ツールで hidden の isAdmin を true に変える（または下のトグルで攻撃版フォームに切替）。

管理者機能を実行

対策: 権限情報を hidden・Cookie・URL などクライアント側に置いて信用しない。 必ずサーバー側（セッション等）で保持し、機能ごとに毎回チェックする。