Как такое может быть?
Вчера смотрел страницу одного человека, просто смотрел, в друзья не стучался никогда, и он ко мне. И вдруг бац, и сёдня он у меня в друзьях.
И ещё : удалил меня один человек из друзей, давно удалил, сёдня опять смотрю - в друзьях.
Главное никаких "уведомлений" нету, типо подтвердить друга. Просто чисто интересно, это баги контакта такие?
P.S. доступ к странице только у меня
Да, 100% CSRF. Но как?
Можно в инфрейме подсунуть пользователю ссылку вида:
http://vkontakte.ru/friend.php?act=addFriend&fid=.........&h=........& first_name=.....&last_name=.......&sex=..
мешает переменная h, имеющая значения в hex для каждого пользователя свое.. эх, если бы знать, как оно генерится...
Такая же фигня при отправке сообщений, комментов и т.д.