profielfoto's opvraagbaar

joomla versie 3.4.8
community builder versie 2.0.12
K2 versie 2.6.9

In een beheeromgeving loop ik aan tegen het volgende
Door achter een willekeurig geldig stuk url het volgende te plakken itemlist/user/id-naam wordt de website getoond met daarop de profielfoto van betreffende persoon.
Blijkbaar is het voldoende als je gebruikers-id en naam van persoon weet om deze informatie boven water te halen.
Hoe kan ik ervoor zorgen dat dit hoe dan ook wordt geblokkeerd ?

Het is in ieder geval geen Community Builder url. Dus ik vermoed dat je ACL instellingen van K2 niet goed staan. Overigens moet een bezoeker nogal wat informatie hebben om die url te achterhalen, dus het lijkt me niet echt een groot probleem.

Wij maken gebruikers via Community Builder en/of Gebruikersbeheer .. niet via K2 gebruikers
Waar zou ik kunnen zien dat de instellingen van K2 niet goed staan ?
Binnen Joomla heb ik daar nog niets mee gedaan.
Het verhaal in de Joomla Documentatie over Access Control List zegt mij niet veel.
Waar kan ik een duidelijker verhaal hierover vinden ?
Binnen K2 zie ik ook gebruikers en gebruikersgroepen .. liefst wil ik die gewoon weghalen maar ik ben niet zeker van de gevolgen.
Daarvoor moet ik eerst een testomgeving inrichten ..maar sommige dingen zie je niet direct de gevolgen van.