Пожалуй расшарю баг. Суть его в том, что можно самому выбрать префикс который ты пожелаешь (ввести префикс самому).
Баг в принципе некритичный, но как грится неприятный
Короче говоря:
1) открываем любой сайт где стоит stressweb (пусть у нас это будет Euro-PvP (Красавчики. пофиксли!. Короче будем юзать баг на moon-land.net)
2) переходим на страницу с регистрацией
3) Заполняем все поля , подсвечиваем фигнюшку с выбором префикса и жмем "Посмотреть код" (я юзаю гугл хрум, в "яндекс хруме" это будет вроде называться "Исследовать код")
4) У нас открывается прекрасная возможность подменить POST данные которые мы отправим в PHP-обработчик регистрации. Давайте сделаем это
На скрине ниже я развернул всё что у нас скрывается под "<select>", и поменял value (первого option) с m2 на capit (тк capit+alist=capitalist). Чтобы наглядно было понятно я изменил ещё выводимый префикс в форму (те данные которые выводятся юзеру выделены синим цветом, их менять не обязательно, чтобы поменять префикс нам нужно только всё что находится в value="?").
5) Если всё окей и вы готовы получить результат - жмите регистрация (отправляйте форму).
Я отправил и получил такой результат:
6) Открываем файл, видим что всё работает и мы зарегистрировали аккаунт capitalist.
7) Ложь, ... , и провокация? Всё это ФШ? Данные от аккаунта предоставлены, заходите - пользуйтесь. Но мне тоже интересно, может это какая то ошибка и аккаунт не создался? Поэтому я решил зайти в лк.
Ой, а как это получилось что мы зарегистрировали аккаунт со своим префиксом? Легко и просто, разработчик не додумался хранить сгенерированные префиксы в сессиях PHP и проверять их на валидность при регистрации. Хотя-б проверка на длину логина происходит вместе с префиксом, а то это был бы MEGAFAIL)