Мелани
Простым методом, конечно не взломать... Я думаю, что систена mybb учла уже опыт предыдущих движков и всяких дырок, типа отсутствия ковычек при преобразовании различных BB тегов в html, да и вобще возможности внедрения чего-либо в тело форума...
Однако! Если ты заметила, то на mybb чётко и ясно написано, что НЕЛЬЗЯ делать админами людей, которые могут иметь не добрые намериния... Почему? Объясняю...
Потому, что администратор имеет ПРЯМОЙ доступ к телу форума, то есть может внедрять злономеренный Java Script код на страницу прямо, без всяких ухищрений... А это значит, что он может "нухать" куки всех пользователей, например, и вычислить ТВОИ куки, при этом защита вида ограничения доступа домена или пути точно не сработает, ведь кука прочитается ПРЯМО СО СТРАНИЦЫ ФОРУМА. Потом... Имя кукисов (печенюшек гы!) ему угадывать не нужно... Он уже админ... Он знает имена админских кукисов... ВСЁ! Внедряем в тайне от тебя скрипт, ждём денёчек, а потом под твоими куками грохаем форум.
В общем админу взломать админа не особо сложно...