Не совсем понимаю суть данной атаки.... у нас есть скрипт redirect.php?url=blablabla мы можем добавить %0d%0aOUR_HEADER, но что это нам даст? как можно через нее утянуть куки? PS На сколько эта атака актуальна? В IE это вроде уже пофиксили..