Так же поидее есть Blind SQL/XPath injection в переменной name
name='%2B'test&email&usernum&xkey=baa6b8db37dac082 6cb6d6f50508cc51&msg