XSS в добавлении товара
(например тут: http://toniss.ru/shop/product_info.php?cPath=5_6&products_id=1013879)
Поле Количество: хоть и ограничено 4 символами, но на стороне сервера вообше проверок нет, мона заслать че душе угодно))

----

http://toniss.ru/shop/products_new.php?page=2&action=add_product
тоже самое - без проверок