I moderni server sono suscettibili agli attacchi HTTP Splitting

Questo non è un problema con il tuo browser, ma piuttosto un problema con la funzione di intestazione PHP che è immune agli attacchi di divisione HTTP. Lo stesso vale per la chiamata alla funzione set-cookie.

Puoi leggere ulteriori informazioni al riguardo qui link

Un breve estratto:

 [...] Although response splitting is not specific to PHP, the PHP interpreter 
contains protection against the attack since version 4.4.2 and 5.1.2. [1]

Non sembra un problema del browser: se il server accetta una nuova riga in input e sputa direttamente in un'intestazione HTTP senza eseguire l'escape, si tratterebbe di una vulnerabilità puramente sul lato server.

Questo particolare attacco di suddivisione di intestazione è ora mitigato in PHP stesso. La funzione header() ti darà un errore se passi una stringa con una nuova riga in.

Gli attacchi HTTP Splitting si concentrano sul lato server come conseguenza di una cattiva analisi degli input e delle funzioni vulnerabili. Per un browser è impossibile indovinare quando un'intestazione è cattiva o no. Questi sono inviati dal server.

Probabilmente leggi questo Splitting della risposta HTTP OWASP

HTTP response splitting occurs when: Data enters a web application through an untrusted source, most frequently an HTTP request. The data is included in an HTTP response header sent to a web user without being validated for malicious characters.