la cosa è anche più grave di quanto pensassi

se scrivete

codice:
<object type="application/x-shockwave-flash" data="/" width="415" height="290">
            <param name="movie" value="/" />   
...
scrivendo data="/"

opera apre un interfaccia nella quale si può navigare sull'intero disco C (o D) e in più cerca anche eventuali cd-rom e floppy

fate molta attenzione e segnalate questa discussione a quanti possono essere interessati