Сам движок (чистый) безопасен, а вот доп. модули к нему пишут разные люди, код разный, подход разный, уровень знаний тоже разный. Одни авторы дорабатывают свои скрипты, другие бросают на полпути с багами и даже дырками, а люди их могут использовать, даже не подозревая этого. Так что все зависит от того, какие модули админы ставят на свой сайт...