Дублирую с форума, есть qr для вызова официанта, в самом url, по которому открывается кнопка с вызовом, если поменять цифру в конце на рандомную и предположить, что это номер столика, если мне память не изменяет, то сервис открывается даже при четырехзначных значениях. Столько столиков в одном заведении быть не может, а если брать филиалы в сумме, то это бред присваивать такие номера. Собственно вопрос в том, есть ли здесь намек на IDOR или уязвимости нет?