Ich meine diese hier:
...../administrator/manifests/files/joomla.xml
Du hast keinen zusätzlichen Passwortschutz für das administrator-Verzeichnis (Backend) eingerichtet, d.h. die Login-Maske für das Backend ist für jeden aufrufbar.
Der Aufruf der joomla.xml hingegen wird veweigert. Deshalb meine Vermutung, dass da noch irgendwas anderes "greift", was eventuell auch für die ganze andere Problematik ursächlich sein könnte. Hier könnte der Inhalt der .htaccess auch eine Rolle spielen. Das ist aber nur eine Vermutung. Ich wollte es nur noch angemerkt haben, falls es wieder irgendwelche Probleme gibt.
Nebenbei: Das administrator-Verzeichnis könntest du aber in jedem Fall noch absichern. Das wäre ein wichtiger Grundschutz gegenüber Hack-Angriffen.
Dann käme halt noch eine vorgeschaltete Passwortabfrage vom Server.