Das ganze Konstrukt ist unsicher by Design und nach dem letzte Vorfall wurde wohl beschlossen das patchen keine Option mehr ist.
Der Researcher, der den letzten Bug gefunden hat, hat auch ausgiebig darüber gebloggt sehr aufschlussreich(ich verlink das mal nicht aus "Gründen", einfach mal nach dem Namen googlen).