Каким образом могут навредить сайту?
Всё, что угодно - assert это аналог eval в данном случае, они могут выполнить совершенно любой код, создать любые файлы и т.п.
Именно поэтому в 7.2 эту функциональность выпилили.
В принципе все, что угодно) В результате выполнится код присланный параметром 'reg'. А там все зависит от фантазии.