Hallo,

Nicht nur die, sondern ALLE Ausgaben. Auch die, die aus anderen Quellen kommen. Denn wie Matthias gezeigt hat, genügt es ja schon, wenn in der Ausgabe ein unmaskiertes '<' auftritt - schon ist der HTML-Parser des Browsers aufs Glatteis geführt und die Ausgabe ist insgesamt Schrott.

OK, danke für deine Antwort. Dann werde ich mich heute Abend hinsetzten und Seite für Seite durchgehen und htmlspecialchars einbauen. Ist zwar eine Menge an Arbeit aber wenn es der Sicherheit dient, dann mache ich das gerne.