Hallo Dirk,
Die Werte für den Benutzer und das Kennwort ist in der pwd.php Datei hinterlegt.
Ok! Und $user und $pass kommen die aus einem POST- oder GET-Request?
Wenn ja dann sieht es so aus, als wäre register_globals auf on gestellt.
Info: http://de.php.net/manual/de/security.globals.php
Gruß aus Moers
Sven