Estaba instalando phpids en una prueba en mi localhost para implementarlo en joomla y va todo bién exepto por este script que no me lo filtra:
http://127.0.0.1/joomla/phpids/docs/examples/example.php?test='" onload();
CitarNo attack detected - click for an example attack (http://127.0.0.1/joomla/phpids/docs/examples/example.php?test=%22%3EXXX%3Cscript%3Ealert(1)%3C/script%3E)
Si pongo una comilla simple o doble si me lo filtra pero al poner eso completo no.
De todas formas un ataque de tipo <input type="text" name="mail" value="" > donde en una petición GET se rellene ese input puede provocar un XSS.
Todo está configurado por defecto. Hice algo mal? o hay que avisar?