есть ли язва

в этих кодах
if (isset($_POST['stat']) && $_POST['stat']==1)
mysql_query("UPDATE `user` SET `billing` = '".($user['billing']-intval($_POST['wmr']))."' WHERE `id` = '$user[id]' LIMIT 1");
if (preg_match("#[a-z]+#ui", $_POST['nick']) && preg_match("#[а-я]+#ui", $_POST['nick']))$err[]='Разрешается использовать символы только русского или только английского алфавита';
if (preg_match("#(^ )|( $)#ui", $_POST['nick']))$err[]='Запрещено использовать пробел в начале и конце ника';

$_POST['wmr'] если только цифры тут то нету

if (preg_match("#(^ )|( $)#ui", $_POST['nick']))$err[]='Запрещено использовать пробел в начале и конце ника';

Можно проще
if (trim($_POST['nick']))$err[]='Запрещено использовать пробел в начале и конце ника';