Tant mieux si tu as trouvé la source de ton problème. Tu peux aussi rajouter ceci dans tes scripts pour éviter les oublis :
foreach ($_POST as $Key=>$Val) { $_POST$Key]=trim(htmlspecialchars(addslashes($Val))); }
foreach ($_GET as $Key=>$Val) { $_GET$Key]=trim(htmlspecialchars(addslashes($Val))); }
En ce qui concerne le vol de session, cela arrive souvent pour les sites qui affichent les jetons de session dans l'url sans expiration. Si le site est utilisé sur un poste accessible de tous type cybercafé, ça ouvre un trou béant de sécurité puisqu'il suffit d'ouvrir l'historique du navigateur pour se voir connecter avec les droits de l'utilisateur précédent.
La meilleure option pour limiter les risques et d'utiliser un bouton de déconnexion ET de l'utiliser pour se déconnecter. Il faut aussi limiter la durée de vie du jeton de session. Tu peux aussi vérifier que l'adresse IP de la personne connectée et que la variable $_SERVER'HTTP_USER_AGENT'] n'a pas changée entre 2 pages. Google étant ton ami, tu trouveras beaucoup d'infos sur le sujet.
marrtin