CSS трюки — пишем сайт без html

Никакой дыры не вижу. И то, и то (документ и заголовки) — части одного целого, HTTP Response. Формируются одновременно веб-сервером.

Раз уж была возможность эмулировать заголовки в документе (в HTML это <meta http-equiv="..." content="..."/>), то вот еще есть эмуляция элементов документа в заголовках. Если браузер не будет трактовать скрипты, указанные в Link: как-то иначе, чем скрипты, указанные в теле документа — дыре возникнуть не с чего. Даже HTTP headers smuggling тут вроде никак не применить.

Другое дело, что это вообще богопротивное занятие — пихать сущности в непредназначенное для них место %)

По RFC 5988 предполагалось, afaik, что в заголовках будут передаваться ссылки, независимые от миме-типа и сериализации ресурса. А stylesheet, по правде говоря, не назовешь независимым. Это предназначено для rel вида previous или next.

 

Источник: http://habrahabr.ru