slet selv om ikke logget ind?

Hvis jeg går ind på http://blabla/tagwall/selt.php?nr=1 så kan jeg slette posten uden at jeg er logget ind...

<?

if ($HTTP_COOKIE_VARS["pass"])
{
$user = $HTTP_COOKIE_VARS["user"];
$pass = $HTTP_COOKIE_VARS["pass"];
}

if (is_array($_GET))
{
$nr = $_GET['nr'];
}
require($_SERVER["DOCUMENT_ROOT"] . "/db.php");
$foresp=mysql_query("SELECT nick, password FROM users WHERE nick = '$user'");
$data = mysql_fetch_row($foresp);

if (($data[0] == $user) && ($data[1] == $pass))
{
  require($_SERVER["DOCUMENT_ROOT"] . "/db.php");
  $slet = "delete from bog where nr = $nr";
  mysql_query($slet);
  mysql_close;
  header("Location: tagwall.php");
}
else
{
?>
<center>
<table width='300' border='0' celpadding='0' cellspacing='0' bgcolor='#000000'>
  <tr>
    <td BGCOLOR="#000000">
      <table width='100%' height='100%' border='0' celpadding='0' cellspacing='0'>
        <TR>
          <TD bgcolor='#eeeeee'>
          <center>Hvad har du gang i?<br><a href='java script:window.history.back()'>Tilbage igen</A></CENTER>
          </td>
        </tr>
      </TABLE>
    </td>
  </tr>
</table> 
</center>
<?
}
?>