Гм, аналогичная ситуация - пассивный Xss, фильтруется только ", '... Что можно сделать нехорошего без кавычек? :-)
Т.е. просто картинку вставить могу - там кавычки не нужны, а вот с запросом О_о...