Мне прислали фишинг под MAX. Я разобрал ссылку и нашёл уязвимость в их API (opens in new tab)

«Мне тут такое фото отправили… не ты на снимках?» Сообщение пришло поздно вечером, в обычной переписке, от знакомого, который пишет редко. К тексту приложена короткая ссылка — clk1.me/rD7P5E ....