Вообще-то во втором случае (showcat.php) magic_quotes_gpc не имеет значения, так как параметр cat перед выполнением запроса попадает в функцию urldecode(), т.е. экранирование кавычки можно обойти, заменив ее на %2527