Эт даже не дыра. Эт пиздец, когда закрытую инфу без взломов простым подставлением айдишника юзера можно смотреть.
Перебором ID я в свое время кучу всего закрытого накачал пока движки не стали умнее