POST-запрос с полем 'photo'

[udaaff]

udaaff, это вы автор того Апи?

С большего
Эта та недоработка про которую я говорил как раз Новые секьюрити запрещают аплоад файлов без действия пользователя. В данном случае, если в multipart/form-data запросе в хедере Content-Disposition фигурирует filename.

Такой обходной путь есть:

// urlRequest.contentType = "multipart/form-data; boundary=" + MultipartData.BOUNDARY; 
urlRequest.requestHeaders.push(new URLRequestHeader("Content-type", "multipart/form-data; boundary=" + MultipartData.BOUNDARY));

Т.е. contentType определять не через свойство, а запихнуть хедер.