admin  модератор Кто там кодом занимается — пусть поправят

Как это у тебя получилось так? :) 

Не проверяются данные от пользователя.

В качестве оценки сообщения можно отправить текст

это скорее хак чем баг. но могут быть неприятные последствия

Это серьезный баг. Все в базу идет, а значит возможны sql инъекции и прочие прелести.

Не поправит за пару дней — буду сам проверять, что через это отверстие можно сделать.

я понимаю

 Размести через эту дырку баннер на сайте.

благодарю за найденный баг! исправил

Это не баг, это фича. (с)