falhas de segurança?

Não seria mais simples perguntar para quem te falou? Mas dando uma olhada por cima, parece que você não valida os dados que são passados por query string.

todos os get e post valido com essa funcao

function anti_sql_injection($sql)
{

$sql=preg_replace("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/i","",$sql);
$sql = trim($sql);
$sql = strip_tags($sql);
$sql = addslashes($sql);
$sql = mysql_real_escape_string($sql);

return $sql;

}

É dificil conseguir ajudar, pode ser falhas em vários sitios e não apenas de mysql injection. Pode ter páginas que nao está a validar os dados correctamente... Melhor é fazer como ESerra falou, perguntar a quem o avisou sobre as falhas e também dar uma revisão no código.