Nie są walidowane chyba wszystkie dane wejściowe, można wrzucić >script< alert ;-)