Как только XSS прикрыли - пошли инклюды и SQL inj, правда вот это уже не работает минимум как год, проверенно неоднократно.