SwE, догадайся с ртех раз

K_2, и шта эта?

echo '<div class="main"><img src="http://mini.s-
shot.ru/'. $_GET['x'] .'x'.$_GET['y'].'/'. $_GET['x'] .'/'.
$_GET['format'].'/?'.$_GET['site'].'" width="'. $_GET
['x'] .'" height="'.$_GET['y'].'" /></div>';
XSS!

$user = mysql_query("SELECT * FROM `".$
prefix."users` WHERE
`login`='".htmlspecialchars(mysql_real_escape_
string(trim( $_COOKIE['login'])))."' AND
`password`='".htmlspecialchars(mysql_real_
escape_string(trim($_COOKIE['password'])))."'";
SQL Injection!

Админы первый файлу удалите