Найти в

modules/Forums/admin/admin_styles.php

switch( $mode )
{
 case "addnew":
  $install_to = ( isset($HTTP_GET_VARS['install_to']) ) ? urldecode($HTTP_GET_VARS['install_to']) : $HTTP_POST_VARS['install_to'];
  $style_name = ( isset($HTTP_GET_VARS['style']) ) ? urldecode($HTTP_GET_VARS['style']) : $HTTP_POST_VARS['style'];

И вставить после этого

                $regs = "";
                if(ereg("[A-Za-z0-9_-]+", $install_to,$regs))
                {
                    $install_to = $regs[0];
                }
                else
                {
                   unset($install_to);
                }

P.S.: Патч не проверенный.