CRM Руководитель - Форум

Обработчик запроса допускает инъекцию данных в поля, указанные как "скрытые".

Поля не скрываются физически, а просто делаются скрытыми. Так сделано специально. Много кто используете JS код для подстановки необходимых значений в скрытые поля.

Я о публичной форме. Той, которую кому-то выдают заполнять без авторизации (в гугле находил такие на чьих-то сайтах, типа анкет).
Они физически вроде отсутствуют, но если их "добавить" на странице или долить в Content-Disposion - можно заполнить те, поля, которые публичному пользователю "запрещены".
Потенциальная дыра в общем...