Старк, так CSRF к загрузке изображений не относится)
CSRF подвержено вообще 90% наверно всего в сети
В 2013 году тот же rootpanel и тысячи хостингов по всему белому свету.
Можно было спокойно гадить конкурентам, узнав адрес админки

Mark, Тут CSRF была, а может и осталась.
Не проверял.
Вот через неё точно знаю - гадили.
Пальцем не буду тыкать, кто делал - знает

Старк, Для этого нужно загрузить пикчу к себе на сервер и выводить напрямую со своего сервера:
а) Куки и т.д. сливать будет не у кого, так как картинку будет сервер качать
б) Если ссылка с изображением упадёт, у пользователей не будет виснуть опера мини, из-за недоступной картинки (так как картинка всегда будет доступна с своего сервера)
в) небольшой минус, место будет забиваться таким кешем, но это мелочи