Получение вечного доступа к Long Pool и авторизованой страницы сайта, если мы когда-либо были на аккаунте жертвы

Summary

Недостаточные проверки в боте «Молодец».

Всего один раз утащив аккаунт, после того как пользователь вернет доступ к аккаунту, было можно читать обновления Long Poll (https://vk.com/dev/using_longpoll, а еще проще - читать все новые сообщения в личке) жертвы без возможности ревока доступа с её стороны - смена пароля и тд не отнимут доступа, и происходит это незаметно - никаких чужих сессий в истории активности не будет.

Через скрипт mr_truth.php отображалась авторизованная страница пользователя на полной версии сайта с данными к LP в конфиге