Часто забывают про банальные вещи — нормальную фильтрацию форм и базовые заголовки безопасности. Кажется, мелочь, но именно это чаще всего спасает от простых дырок и неприятностей. Сначала просто проверь систему сессий, и будет уже спокойнее.