в j25 тоже вроде как sqlinj прикрыли, только она при register_globals on сработать могла
Помимо прочего, если нужна дополнительная магия при  установке есть <scriptfile>install.php</scriptfile>
docs.joomla.org/J2.5:Managing_Component_Updates_(Script.php)
класс должен иметь имя pkg_ИмяПакетаInstallerScript 
Как вариант можно делать бэкапы на амазоновский s3У мена пока туда делается, пока микроинстанс бесплатный на год.Компонентом xcloner