> И в чём же принципиальная разница?

В количестве вариантов действий у атакующего и возможности все это предсмотреть.

Ну и как бы в случае libpng - мы как бы с самого начала не гарантируем что картинки происходят из дружелюбных источников. Ниоткуда это не следуте. А вот сиквель как таковой изначально сделан под совсем другие допущения, прямой доступ атакующего к фигачингу запросов в типовом движке - это как минимум "bobby tables" в датацентре. А в большинстве сиквелей еще и выполнение кода с правами сервера, потому что запросы разные бывают и фич наворотили огого. В том числе порой и откровенное выполнение внешних команд, например. Которое как бы в теории можно отключить или там контейнерами застопорить - но у 90% растяп оно просто становится i++'м ботом в ботнете.

И вообще-то гугель мог бы и научиться на чужих ошибках пожалуй. Вывешивать сиквельное апи для выполнения в нем произвольного ремотного кода - идея весьма стремная, мягко говоря.