а в автозагрузку как поместить если не секрет?
------------ Дoбавленo:

действительно не получится ))
------------ Дoбавленo:

ну как же делают sql инъекции с помощью подобных дыр )) да лан, не то обсуждаем ))
------------ Дoбавленo:

а вообще достаточно запретить символ < или > в поле правки аватара