¿ataque php?

[minombreesmm]

como es esto posible

Código PHP:

if (isset($_POST['url'])){
    $url=$_POST['url']; 
    
    if(strlen($url)>100)
    {
        header("location: index.php?v=url menor a 100 caracteres"); 
        exit;
    }
    if($url=="") 
    {
        header("location: index.php?v=Falta agregar la url");   
        exit;
    }
     if(stristr($url,"http://")==false )
     { 
          if(stristr($url,"https://")==false )
          { 
             header("location: index.php?v=La url es invalida debe ser http o https");
             exit;           
          }      
     }  
}
 

la persona logro insertar el # en el campo url
y no me habia percatado de ese error garrafal siendo que lo habia visto ya hace varios meses casi el año.

¿como es eso posible?
como pudo burlar esas validaciones?

de antemano gracias