未经许可，不得转载。

正文

在测试“添加到收藏夹”功能时，我拦截了发送到服务器的请求，请求体如下：

{“uriTemplate”：“asset/{assetId}/favorite”，“version”：“v2”，“type”：“POST”，“req_service”：“pict”，“url”：“asset/VICTIM'S_ASSETID/favorite?favorite=true”}

其中， assetId 参数的值为我图像的Id，我将该值更改为其他用户图像的参数值，发包后，成功将受害者的图像添加到我的收藏夹相册中。

这表明系统在处理“添加到收藏夹”请求时，未对 assetId 参数进行适当的访问控制或权限检查，从而允许未授权的操作。