В чат возможно внедрить Sql инъекцию ...
Почитай статьи на багтраге и на античате...
Про это много писалось в новостях ....