Xoops 2.0.16 SQL Inj
 

как можно експлоитировать эту багу ?

The 'id' parameter in "get()" function is not checked against sql injections :

File kernel/group.php, Line 94 :
:: function &get($id)
:: {
:: $group = false;
:: if (intval($id) > 0) {
** $sql = 'SELECT * FROM '.$this->db->prefix('groups').' WHERE groupid='.$id;

Руками. Находишь сайт под xoops 2.0.16 и там теоретически есть скуль-инж в параметре id, функции get(). Чего непонятного? Почитай статьи по sql-inj, и ещё гугль твой друг.