Una web es vulnerable desde que se abre al público, puedes hacerle la vida más dificil a personas que te quieren hacer daño, pero 100% no lo creo.
Tienes una contraseña en MD5 de la base de datos, la comparas con md5($password). Se pueden comparar tranquilamente.
if ($passbasededatos == md5($password) { ...
Saludos.