просто нет фильтрации и произвольный человек может "просочиться" используя активную XSS = )