Хм знат.. Я видел в 8 показывается таблица с самими картинками, поэтому для того способа инъекций не нужно, - админ просто просматривает страницу с запросами на аватар и его сессия уходит на сниффер. Далее можно доработать скрипт, чтобы он выполнял какие-либо действия, используя id, то есть автоматизировать процесс