Взлом ил что?

Да, первые два пункта соблюдены, а по третьему, устанавливал и использовал (пока в один момент) не забыл про его наличие )))

Никогда не использовал записи паролей (вроде все помнил), но вот уже в 2020 году завел).

А ломать, не ломать, это дело такое, сайт малого бизнеса, но конкуренция, да и просто, какой - нибудь начинающий в качестве экзамена.
Да, я вот искал инфу в серпе по GetSimple, вот и наткнулся, вот и выложил. А так в целом, учитывая периодичность появления  новых "дыр" в Джумле или Вордпресс, то особо и не надо по данному вопросу заморачиваться.

Auth bypass
Действий автора статьи не повторял, но проблема (есть ?).

1кк = 1.000.000 попыток,
вариант с восстановлением пароля:
"логин = admin + ПО\скрипт\автоматика" за около 50 минут (у автора статьи (на локалке)!).
тут еще в сон кидает:

$randSleep = rand(250000,2000000); // random sleep for .25 to 2 seconds

и момент с "new password .. email address" не ясен, лям писем все же.

Решение на деле простое (например):

function createRandomPassword() {
    $chars = "#@$*^~!Ayz23mFGHBxPQefgnopRScdqrTU4CXYZabstuDEhijkIJKMNVWvw56789";
    srand((double)microtime()*1000000);
    $i = 0;
    $pass = '' ;
    while ($i <= 11) {
        $num = rand() % 33;
        $tmp = substr($chars, $num, 1);
        $pass = $pass . $tmp;
        $i++;
    }
    return $pass;
}

echo createRandomPassword();

Проверка кода: https://extendsclass.com/php-bin/c4c8068

Было:
TRfHPz

Стало (с запасом;)):
d@AcmUx$px@@
...
BpT$3eG@*Gfp

Итог:  ~миллион попыток, против ~100 миллиардов (космос).

Взлом движка практически невозможен, если сервер на апаче, на iis нужно ещё подкрутить кое что. Если поставить и настроить ещё пару плагинов (GST AdminLock и kt block login), то взлом не реален...
Guestbook древняя и заброшена, есть более разумные плагины.