извините, спутал)
возможен подбор имен пользователей,
возможно это не так страшно, но все же утечка данных.
имхо, сначала код картинки проверяем, затем все остальное.