Вложения личных сообщений доступны неавторизованным пользователям (отсутствует проверка аутентификации)

Стоит посмотреть: