Вопрос по поводу QR-кода. Хакеры?
test.png картинка где-то кешируется и выводится все желающим. Генерируй картинку как base64 строку и вставляй ее как src тегу img.
В браузере включена функция турбо (или как то так) и она дает картинки из кэша, вот и получается, что видит чужую картинку.  Или делать уникальные имена картинки для каждого клиента, или через base64, как написал profesor08