Und welche Löcher es gibt, kann man bei milw0rm nachschlagen - die Joomla-Exploit-Liste ist erschreckend lang.
Leider gab es seit dem 21.09.2009 keine neuen Einträge mehr. Der Betreiber hat sich wohl anderen Dingen zugewandt: http://www.google.de/search?q=milw0rm+closed