я не сталкивался с более гибкой CMS в этом плане
из коробки" то в октябре нет ровным счетом ничего
например, в буквальном смысле накликать себе магазин
он столкнется с дичайше низкой производительностью и перманентными дырами в безопасности
если кому-нибудь захочется - всё равно сделают.
Обычно уязвимость - это зазор между тем, что программист имел в виду - и тем, что он реально написал. А уж если программист сам не в курсе, что именно он написал...