Можно ли осуществить взлом сайта через $_SERVER['REQUEST_URI'] ?
Можно, если данные не фильтруются.
Форма<form action="<?=$_SERVER['REQUEST_URI']?>">
...
</form>
при запросе: host.com/form/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E%3Cbr%20class=%22demo
превратится в:<form action="http://host.com/form/"><script>alert('xss')</script><br class="demo">
...
</form>
в форме можно вообще не указывать, а оставлять аттрибут пустым. но главное чтоб был