Страница смены пароля никак не защищена от CSRF.
Нет текущего пароля, нет капчи, нет одноразового токена. По сути кликнул на левой странице и отдал доступ к ящику.

Удаление ящика вообще GET-запрос /ru/user/delete
Для понимания: если к примеру в этой теме запостить картинку с src=http://umail.uz/ru/user/delete, то все просмотревшие удалят свои ящики.

Неужели это может быть правдой? И никаких подтверждений не запросит? Проверять не хочу, но сама перспектива пугает.

Я не вижу никаких проверок, кроме Javascript на клиентской стороне.

Ну да, оно спрашивает, хотите ли вы удалить ящик. Но если в адресную строку вбить приведенный вами адрес или подгрузить его как картинку - удалит без подтверждений?

Правда. Ящик автоматически без всяких запрсоов подтверждения удаляется.

Проэкспериментировал :)
https://img.uforum.uz/thumbs/acwprqz39271.png
Почтовый ящик создавал несколько дней назад и даже с него тестовые письма посылал :)

А зачем ты user в ссылке поменял на kushnir? Попробуй с user

А я сначала с user и запустил, а потом как-то неловко стало...

Судя по скриншоту, у тебя почтового ящика нет? Он, значит, в первый же раз удалился, когда с user пробовал.