FloppyFormator

Если это популярная CMS, разумно обновить её до последней версии. А если сайт самописный, то либо атакуют те, кто знает код, либо уязвимости действительно легко найти, и даже несложный аудит поможет выявить какое-то их количество.

А чтобы тут не было слишком скучно, предложу ещё одно решение для MySQL:

SELECT user_id FROM user_option GROUP BY user_id HAVING GROUP_CONCAT(DISTINCT option_id ORDER BY user_id ASC SEPARATOR ',') = '1,2,3,4,5';