Как в SimplaCMS реализовано экранирование символов при записе в базу данных?
Это лишнее доказательство простого факта - готовые CMS лучше не использовать в серьезных проектах.
Согласно этому, экранирование все таки есть. // api/Database.php:94
/**
 *  Экранирование
 */
public function escape($str)
{
	return $this->mysqli->real_escape_string($str);
}
Ну а потом просто сделать поиск в папке api, чтобы увидеть то, что эта функция используется.