Andrei D.

Проверьте лог сервера.
Еще вариант. Зайдите через FTP и в корневом файле index.php в самом начале укажите

ini_set('display_errors', 1);
ini_set('error_reporting', -1);

Тоже самое для админки в файле manager/index.php.
После этого ошибки должны вывалится на странице. Скорее всего отсутствуют какие-то классы.

Ну раз компонент действительно куплен официально, попробую помочь.

Вот такой код правильно будет выводить картинки?

[[pdoResources?
  &loadModels=`ms2gallery`
  &class=`msResourceFile`
  &tpl=`tpl.tabs_photo`
  &sortby=`{ "msResourceFile.rank":"ASC" }`
  &limit=`0`
  &where=`[
      { "active":1, "parent":0, "resource_id":25 },
      [
          {"add:NOT LIKE":"%65%", "OR:add:IS":null },
          { "add:NOT LIKE":"", "OR:add:IS":null }
      ]
    ]`
  &showLog=`1`
]]

И по поводу ID-шников — я имел ввиду, что в ресурсе (65) НЕ будут выведены картинки, у которых в поле add будет указано, например: 165, 653, 1065

Где угодно вставляем

require_once('functions.php');
$functions->test();

Создаем файл

$functions = new functions($modx);
class functions {
	public $modx;
	function __construct(modX &$modx){
                $this->modx =& $modx;
		$this->pdoFetch = $this->modx->getService('pdofetch','pdoFetch', MODX_CORE_PATH . 'components/pdotools/model/pdotools/', array());
	}

	function test() {
		// $this->modx->****
	}

}

Так заработала фильтрация или нет?

$response = $modx->runProcessor('resource/create', array(
  'class_key' => 'msProduct',
  'pagetitle' => 'Товар',
  'parent' => 55,
  'template' => 11,
  'show_in_tree' => 1,

  //Данные
  'price' => 100,
  'old_price' => 0,
  'favorite' => 0,
  'popular' => 0,

  //стандартные опции товара
  'color' => array('Синий', 'Красный'),
  'size' => array('S', 'M'),
  'tags' => array('Тег1', 'Тег2'),

  //свои опции созданные в настройках
  'options-КЛЮЧ_ОПЦИИ' => array('значение1', 'значение2'),

  //TV - 10 это id TV
  'tv10' => 'Значение'
));

Проблему можно решить плагином, который запретит добавлять заказы с пустой корзиной:

<?php
$e = $modx->event;
if ($e->name == 'msOnSubmitOrder') {
    $status = $order->ms2->cart->status();
    if (!$cart['total_count']) {
        $e->output('Error');
    }
}

Лично я закрываю служебные директории через веб-сервер на случай обнаружения новой уязвимости в MODX.

Например, как это было, когда движок некорректно обрабатывал запросы в несуществующий контекст в коннекторах. Там еще одна PHP авторизация не помогла бы, так как хакер получал доступ к API через обычные GET запросы к определённому файлу.

Именно поэтому я закрываю для доступа снаружи и админку, и коннекторы, и ядро. Причём, не через потенциально уязвимый движок, а средствами гораздо менее потенциально уязвимого Nginx.

location ~* ^/(core|manager|connectors)/ {
    auth_basic "Restricted Access";
    auth_basic_user_file /home/site/.htpasswd;
    try_files               $uri $uri/ @rewrite;
    location ~ \.php$ {
            include         fastcgi_params;
            fastcgi_param   SCRIPT_FILENAME $document_root$fastcgi_script_name;
            fastcgi_pass    backend-site;
    }
}

А зачем нужна вот эта инструкция — большой вопрос.