я про этот пост как раз и написал

Читал прохождение про 4-й флаг - всё закончилось на фразе "перебирая заголовки находим инъекцию в заголовке Authorization в параметре url: ...."

и что дальше? где флаг то?