Soweit wir das bisher beuerteilen können war es nicht über SQL injection - mehr Details dazu will ich aber aus hoffentlich verständlichen Gründen nicht verraten.