Не пойму, что за уязвимость
 

Вот страница:
http://u-office.utech-online.com/u-map/index.php
поле поиск кушает любую XSS, что ему дать
И какого-то хрена выдаёт весь SQL запрос:
SELECT * FROM `prod_umap_obj` WHERE `name_obj` LIKE 'Ваш поисковый запрос' AND parent_id_object != 0

это типа баг? или это так надо?

Это баг+дебаг. :D Вставь в поисковый запрос