TRV externe HTTP Steuerung trotz Zugangsbeschränkung?

Moin zusammen,

beim spielen heute am TRV, mit der aktuellen FW 2.1.2, ist mir aufgefallen, dass der TRV auch auch HTTP-Kommandos hört, obwohl ich die Funktion Zugangsbeschränkung, wie bei allen meinen Shelly eingestellt habe.

Normalerweise sollte er ja so agieren:

http://<username>:<password>@<IP-Shelly>/thermostat/0?target_t=22c

Er macht es aber auch ohne username und password

http://<IP-Shelly>/thermostat/0?target_t=22c

Haben wir hier noch ein security Problem?

Kann das jemand mal checken, ob das bei euch auch so ist?

Danke!