Damir Makhmutov

А уязвимость ли это вообще? Если требуется доступ к компьютеру, браузеру с сессией - то скорее всего это не уязвимость.

Добавить авторизацию например. Или просто секретный ключ, который известен только приложению и api. Но в этом случае все запросы посылать по https.

Может быть потому что запрос асинхронный, и в момент вызова (где появляется undefined) - $scope.count действительно undefined ?