Session Puzzling simple JWT - Pentesting Web

Nous commençons sur un panneau de connexion :

Nous constatons la présence d'un cookie de session au format JWT :

Nous traduisons sur le site web : "jwt.io" et décodons le jeton :

Nous saisissons le nom d'utilisateur admin dans le formulaire de mot de passe oublié :

Nous interceptons la requête avec Burpsuite et dans la réponse, nous obtenons le même cookie de session sans avoir saisi de crédentielles :