даже если там не Javascript
Sergey M. 11.03.2006 14:37
есть еще как минимум два нехороших момента:
вставив на ваш сайт
картинку с внешнего (своего) ресурса, посетитель ставит такую страницу "на счетчик" ("на сниффер" если угодно) - теперь он знает кто, чем, когда и откуда туда заходил, он может, например, синхронизировать эту информацию с временем комментариев, etc. Плюс если вы передаете идентификатор сессии в строке адреса, ему это все приходит как реферер, и при определенных обстоятельствах (отсутствие таймаута, нет привязки к IP) он сможет украсть чужую сессию и нагадить, или еще чего сотворить.
Или есть вариант еще прикольнее - применялся, если не ошибаюсь, в том-же phpBB. Суть в том что можно было поставить себе аватаром картинку с внешнего сервера. Вместо картинки ставился простейший скрипт, делающий внешний редирект на определенный адрес форума, с параметрами, необходимыми для поднятия привилегий пользователя до администраторских. Разумеется, "чудо-адрес" редиректа срабатывал только в контексте привилегий администратора. И когда ничего не подозревающий админ заходил на страницу с таким "аватаром", он сам того не подозревая... ну дальше все понятно.
вобщем, прежде чем разрешать безобразие с внешними картинками, стоит хорошо подумать.
