Учебная страница другого origin

Она существует только для лаборатории CSRF. Кнопка отправляет обычную HTML-форму в вашу VulnShop-среду и не читает ответ сервера.

Если защита выключена, тема профиля изменится. После включения CSRF-защиты запрос должен быть отклонён.