Sui campi mittente e messaggio controlla che non ci siano stringhe del tipo
codice:
<script> o </script>
o ancora:
codice:
alert("