все, уязвимость исправлена, поставили фильт по спец. знакам хтмыла... странно, лучше бы они через preg_match организовали образцы...