Украли движок сайта

Купил один скрипт, подрихтовал его (переверстал, попросил знакомого программиста дописать пару модулей). Сегодня обнаружил еще один региональный сайт-копию моего (у меня даже сомнений нету, так как внешне и функционально мой спутать с движком производителя просто невозможно). Пошёл качать программу для проверки уязвимостей, нашла !160! xss
Вопрос: как с помощью xss получают доступ к движку?? Даже если и узнали мой пароль админа на сайте, так из админки его один хрен не скачаешь

Примечание:
в админке нет каких-либо форм для загрузки файлов, только настройки сайта

RPI.su - самая большая русскоязычная база вопросов и ответов. Наш проект был реализован как продолжение популярного сервиса otvety.google.ru, который был закрыт и удален 30 апреля 2015 года. Мы решили воскресить полезный сервис Ответы Гугл, чтобы любой человек смог публично узнать ответ на свой вопрос у интернет сообщества.

Все вопросы, добавленные на сайт ответов Google, мы скопировали и сохранили здесь. Имена старых пользователей также отображены в том виде, в котором они существовали ранее. Только нужно заново пройти регистрацию, чтобы иметь возможность задавать вопросы, или отвечать другим.

Чтобы связаться с нами по любому вопросу О САЙТЕ (реклама, сотрудничество, отзыв о сервисе), пишите на почту [email protected]. Только все общие вопросы размещайте на сайте, на них ответ по почте не предоставляется.