В принципе это должно быть безопасно, если предположить, что пользователи указывают только файл (они не пишут код для встраивания), и что они не могут загружать файлы на ваш сервер.
Возможно, вы захотите сделатьиспользуйте параметры allowNetworking и allowScriptAccess в теге embed, куда вы встраиваете SWF, чтобы ограничить то, что разрешено делать этим встроенным SWF.Подробнее см. здесь .
Кроме того, я предполагаю, что у вас нет широко открытого файла crossdomain.xml на вашем сервере.Если вы все открываете междоменный доступ, то я думаю, что горячая ссылка на неизвестные SWF-файлы может быть небезопасной.(Если у вас нет файла политики crossdomain.xml, все в порядке - по умолчанию не предоставляется доступ, если политики не существует.)