На самом деле, в этой теме много разных заморочек, и не всегда "дыра" — сразу что-то критичное. Часто уязвимость зависит от контекста, настроек и окружения. Поэтому просто знать определения — мало, важно видеть, как всё реально работает в конкретном случае.