+3. спасибо. (на самом деле это был правильный ответом)
а можно по подробнее ?
проблема именно в этом строке ?

И там можно прописать что хочешь и запрос будет выполнятся ? тогда почему это не XSS ?