risolto raga... come al solito non avevo fatto il controllo sui campi di input e nel db inserivano codice html, javascript e tutta sta roba