ログインパスワードのチェックがされていない。

[op3kitt]

部屋内で行えるほとんどのコマンドについて、パスワードなしに実行が可能になっています。 実行可能コマンドにchangePlayRoomを含むため、パスワードを変更してしまえば全てのコマンドが実行可能になります。

msgpackの利用設定がされていない場合、POSTデータでも一部の実行が可能なためより深刻だと思われます。