Сорри за оффтоп, но
http://radikal.org.ua/v.php?id='><script>alert(/xss/)</script>
Юзай htmlspecialchars($_GET['id'])

+ раскрытие пути если закачать битую картинку.