Первая дыра-похоже пассивная Xss. Зашифровать строку и подсунуть жертве.
Две други баги уже не новые.