Достать bitmap из loader

[Krusty]

Да. Есть еще null byte injection php-уязвимость, например.
Пхп крайне просто позволяет все эти вольности для удобства, лучше ищите готовые варианты или хотя бы сначала про безопасность в пхп надо читать.

[zuxul]

Вам, как истинному знатоку линукса, должно быть понятно, что дефолты оставлять несколько небрежно.
Специально зашел на один из серверов прочитать файл passwd из под web-пользователя - обломался. Все-таки, тут нужна прямизна рук администратора.
Да, и этот код должен был только пояснить смысл "проксирования" изображений вконтакта во флеш-приложение.
Все прекращаю спор - этот код очень опасен, не смейте его использовать на реальных серверах.