Если взломали какого-то менеджера, то неясно зачем вообще нужно было реализовывать и давать администратору функцию постинга от лица других пользователей? Даже забыв про ИБ с минимальными привилегиями, в чём смысл?