"Строка активации кода сравнивала введённый код с тем, что был в базе, и считала его верным, если он совпадал минимум на 6 символов подряд."

Это самое тупое, что я слышал.. это же специально надо так код написать. Хотя гораздо проще искать по полному коду. Выглядит не как уязвимость, а как специально оставленная уязвимость.