Пепец, этому способу уже десятки лет наверное, менялся он незначительно, раньше было при помощи window.status, потом просто редирект, и все это через банальный яваскрипт-код. Уязвимости тут никакой нет - просто особенность html и javascript.