Tark

Эксплуатировать эту уязвимость очень просто: нужно на этом же сайте разместить "картинку" с адресом /logout. Или дать ссылку на страницу своего блога, где будет такая картинка. Каждый, кто её "посмотрит", будет принудительно выброшен из системы. Ничего такого, просто неприятность.

Пока в vk не сделали csrf повсюду, таким образом люди без своего ведома вступали в группы или голосовали в нужном голосовании за нужный результат.

> непонятно откуда берется нужное количество показов баннера
Оно берётся из файла; "10" в конце первой строки, например. Дело в том, что обычно покупают показы баннеров, а не время их размещения: если показывать один и тот же баннер постоянно, то он сильно примелькается, поэтому продают тысячи показов и чередуют баннеры в случайном порядке.

> зачем даны их id
Этакий primary key. Возможно, тут - для облегчения выдачи случайного баннера. Можно просто выбрать случайное число от 0 до последнего и выдать баннер, который ему соответствует.

Вам остаётся лишь как-то сохранять данные о том, сколько раз какой из баннеров показан, и проверять это при выдаче.