[Nestrus]

Vielen Dank für den Hinweis auf file_get_contents() damit klappt es, zum Glück ist allow_url_fopen eingeschaltet!

Zuerst geht es mir mal darum, das es überhaupt funzt, dann kann ich immer noch alles escapen.
Außerdem gebe ich ja nicht die übergeben Variablen aus, sondern das Ergebnis eines anderen Programms, das sowieso alles Unbekannte verwirft, also eigentlich sollte da XSS gar nicht möglich sein. Ich werde aber ein paar Beispiele suchen und ausprobieren.