Du reichst Benutzereingaben einfach an PHP durch (include()), das ist je nach Konfiguration ein wenig bis ziemlich fatal. Das sind absolute Basics, daher mein Rat sich an jemanden mit entsprechender Programmiererfahrung zu wenden. Wer weiß was da noch so im Code lauert…