"+" в урле означает пробел. Я думаю, ненужные символы убираются. Вряд ли тут есть инъекция.