Злоумышленник может с помощью грамотно сформулированного HTTP-запроса привязать бэйдж к любому сету