Не совсем понимаю суть данной атаки....

у нас есть скрипт redirect.php?url=blablabla

мы можем добавить %0d%0aOUR_HEADER, но что это нам даст? как можно через нее утянуть куки?

PS На сколько эта атака актуальна? В IE это вроде уже пофиксили..