Das Übelste verhindert strip_tags(). Versuche auch in diesem Beispiel, Tags zu infiltrieren.
strip_tags()
PHP-Handbuch: strip_tags()