вкратце по пунктам, что там написано
Удаленный юзер может:
1) Забить серв, форум не удаляет залитые аватары.
2) Использовать заливку аватара как прокси, подставляя в Url аватара нужный урл.
3) встроить пхп код в аватару.