Bah, c'est simple, y a moyen de faire des attaques de type cross-scripting. C'est d'autant plus embêtant que l'url que l'on "aime" est passée en paramètre à l'iframe, ce qui la rend très simplement modifable.