XSS?
Hai effettuato il controllo sui dati passati via GET e POST?