clock, Проверяй сам. Обычно большая часть язв таится в $_GET. Найди все такие переменные и смотри фильтруются ли они.