http://gibs0n.name/?do=";alert()//

IE не кодирует кавычку и получается xss

а, не увидел, нашли уже =) но там не в параметрах дело - запрос напрямую вставляется в скрипт