это не баг

какой смысл делать так "date($_GET" при программировании?

любые GET/POST запросы должны проходить фильтрацию