Buenas tardes a todos, necesito ayuda para entender como se soluciona una falla.

La web tiene un boton de "recuperar clave" al presionarlo envia un correo con el codigo de verificacion al usuario.
El problema es que se puede modificar la cabecera y hacer que ese correo se envie a otro email (atacante) usando la opcion  "repetir" de  Live Http Headers.

De que forma se evitan este tipo de ataques ?

Desde ya muchas gracias