PHP sendo scaneado pelo Acunetix.

Estou utilizando um banco de dados e um sistema PHP que lê e mostra o que há no banco de dados. Aqui mesmo, no forum, me deram esta sugestao: verificar pelo acunetix se há vulnerabilidade no PHP.

Pois bem, o arquivo status.php lê se existe no banco de dados a string (status.php?pedido=ID_PEDIDO). Ok, quando vou no acunetix, na página status.php aparece um [+], quando clico: PUFT, aparece a lista de pedidos que só deveria ser acessada pelo dono do pedido.

Há tambem outras situações, como na categoria comprar.php. Onde os produtos a pronta entrega são adicionados por quantidade no painel do adm e quando scaneio pelo Acunetix: O scanner faz várias "compras" (acredito que para obter o máximo de informações possivel) secando o meu estoque.

Ao fazer a compra, como citado acima, ele gera o numero do pedido. Esses dois números na imagem, foi através dele:

/applications/core/interface/imageproxy/imageproxy.php?img=http://s15.postimage.org/oxhsrq0jt/Sem_t_tulo.jpg&key=a7e6077f103139a370617dcec57a4a5e60312f5fab50cadaab28d7a531b63c60" alt="Sem_t_tulo.jpg" />

Onde posso corrigir essas falhas?

Edit:

no comprar.php utilizo:

<?php
 function QueryString(&$get, $inicio, $pasta){
 $get = (isset($get)) ? strip_tags(trim($get)) : '';
 $regex = '/(http|www|.php|.asp|.net|.gif|.exe|.jpg|.html|.htm)/i';
 $paginaHome = "comprar/item/404.php";
 $paginaAtual = "{$pasta}/{$get}.php";
 if(empty($get) || preg_match($regex, $get) || !file_exists($paginaAtual)){
 include_once($paginaHome);
 }else{
 include_once($paginaAtual);
 }
 }
?>

<?php
QueryString(strip_tags($_GET['produto']), 'produtos.php', 'comprar/item/');
?>

e no status:

<?php
$pedido = strip_tags($_GET["pedido"]);

if(eregi("http|www|.php|.asp|.net|.gif|.exe|.jpg|.html|.htm|wget", $pedido)) {

 echo "<center>IP GRAVADO PARA SEGURANÇA.<br><br>Não utilize url externa.</center>";
 }
?>

E vejam isso:

/applications/core/interface/imageproxy/imageproxy.php?img=http://s15.postimage.org/t9fl87m89/kkk.jpg&key=07c56a6104b1b22348e7394670c7a1fd969fec3ca203d4dc0d91a6d89fadd78b" alt="kkk.jpg" />

A página tava ficando boa demais pra ser verdade. rsrsrs.