Чтобы убереч свой чат от подобного рода взломов, нужно метод get сменить на post, для того чтобы урл в админке не состоял из логина и пароля ...