Обновление безопасности без обновления

Видимо это относится ко всей ветке 1.10.*?

Для более старых тоже подойдёт, заменив mb_strpos на strpos и подредактировав немного, потому что могло измениться со старых версий.

Не понял на счёт: "заменив mb_strpos на strpos и подредактировав немного...."
Что там ещё необходимо подредактировать?
А для 1.10.1 что необходимо сделать?

Это я про 1.9, 1.8

для защиты от кривых рук сторонних разработчиков и унификации CMS идеальным решением будет сделать фильтрацию типа sprintf(запрос, параметры) на уровне драйвера базы данных mysql (т.е. в классе cmsDatabase)

mysqli поддерживает подготавливаемые запросы на английском…

в теории там все хорошо, на практике не очень

… но при этом придется переписывать значительную часть кода cms …

а)крупные движки CMS уже потихоньку начали внедрять подобный подход потому что уже надо - это первое
б)мы при выходе новой версии ВСЕГДА переписываем(доделываем,допиливаем) шаблоны, компоненты, модули, чтобы они работали на наших сайтах - и ничего, никто не жалуется - это второе

а хозяин барин - это третье)