naja, prinzipiell muss man da nicht allzu viel angst haben. register_globals immer auf off halten.

ich denke, es geht da ja um code- und sql-injections

sql ist insofern bei php oft problematisch, weil sich bei phpprogrammierern offenbar nie durchgesetzt hat, dass man userinput quotet (am besten auch prüft, aber quoten ist ja schon mal was), so ist es möglich, sql an die db zu senden und dann teils beliebige tabellen zu löschen oder daten zu verändern.

die code-injections stelle ich mir erstmal so vor, dass a) mit url_fopen = on gearbeitet wird, dh wenn man eine url mit include einbindet, holt php sie und führt fröhlich das aus, was zurückkommt. wenn nun irgendwer mit dynamischen includes arbeitet und man kann diese umbiegen und auf eine beliebige url schicken, dann ist's einfach. b) dynamische includes und irgendeine datei wird mit userinput geschrieben und kann dann includet werden. kA, ob's noch was gibt, aber ich bezweifle, dass es etwas grundlegendes ist, sonst wäre ja jedes phpscript angreifbar. ich denke, es liegt eher daran, dass bei größeren opensource-projekten bei php eine ganze menge amateure hacks beisteuern oder an der core-entwicklung beteiligt sind. man schaue sich nur mal schön oscommerce an und erfreue sich daran :)