Комментарии в обход настроек

Столкнулись с такой проблемой.
На странице с отключенными комментариями наштамповали кучу спама.
Для сайта в целом включена опция комментирования только для залогиненных пользователей.
В качестве имени пользователя подставлялись «рекламные слоганы» (пользователей таких естественно нет), вместо e-mail ссылки на сайты.
Нигде не смог найти описания подобной проблемы. Как это могли провернуть, где искать дыру?