Самое важное - я данные комбинирую в куках и посте НЕ ДЛЯ ПОНТА.
Так и только так это будет работать в указанных сочетаниях гет+куки+пост.
(При импорте перезапись глобальных переменных куками происходит в последнюю очередь, что и позволяет переписать значения на нужные)

Во-вторых, есть некторая зависимость от директив пхп.

В-третьих - от версии движка слаеда. Тестил на 2.1 и 3.0.

Ввиду таких мелких деталей - пробив менее 50%, так что не стоит обольщаться.
Двиг все таки делали антихакерским, и постарались максимально осложнить задачу.
Однако данные дыры с точки зрения разработчика вообще не существуют, поскольку он видимо не вдавался в особенности пхп.