хы-х кажется в первом посте все-таки нашел sql инъекцию вот она:

http://www.[target]/modules.php?name=coppermine&file=displayimage&albu m=lastup&cat=0&pos=[injection]

а вот как sql запрос выглядит

SELECT p.*, p.title, caption, hits from cpg_pictures as p INNER JOIN cpg_albums AS a ON (a.aid = 2 AND visibility IN (0,3,3,10001)) WHERE p.aid='2' AND approved='YES' ORDER BY pid DESC LIMIT [injection] ,1

работает в версии v1.2.2b-Nuke...