Если они не фильтруются - значит уязвимость (XSS).
<script>alert('')</script>
Если фильтра нету - при заходе на страницу пользователя будет выведен "алерт".