мельком просмотрел двиг
есть несколько xss, правда условие register_globals = on, на сервере где стоит демка видимо off, поэтому не работает

install/template/index.php
переменные $title, $head_addon, $head, $text, $copyright


install/template/Message.php
переменная $title

также куча xss в файлах в папке /templates/, но там решает .htaccess, хотя на него пологаться не стоит, если веб-сервер будет не апач, все баги вылезут

__________________
God forgive me for I have sinned
It’s been six months since my last confession
There is nowhere that I can run to
My soul I place in your hands