Я могу.

Либо не 2.0.21 (скорее всего)
Либо мод с дырой (или кривой апдейт)
Либо почта (троянчики... и т.д.)

Куда можно копать (Отличия 2.0.21 от 2.0.22):

[По части безопасности] Улучшена проверка директории для закачки аватар
[По части безопасности] Изменен критерий подозрительности для URL, на которые производится перенаправление
[По части безопасности] Плавающая ошибка XSS в системе личных сообщений
[По части безопасности] Возможность задания отрицательного значения для параметра start.
[По части безопасности] В различные формы добавлена проверки данных сессии

B1t.exe
Если все есть, то config.php тебе поможет )
Если нет, то есть сплоит с админским пасом для 2.0.21