Jupp. Wenn er sich hier wenigstens nur auf das $_POST Array beschränken würde,
wäre wenigstens die kleine, offensichtliche Möglichkeit, POST Formdaten via URL Parameter zu überschreiben, gebannt. Hat natürlich trotzdem ~0 Relevanz.
PHP-Code:
foreach($_POST as $key => $val){
$$key = strip_tags($val);
}
foreach($_GET as $key => $val){
$$key = strip_tags($val);
}

Kommentar