Cross Site Scripting - XSS - Páginas Dinâmicas
D
dincoldTenta escapar suas saídas com htmlspecialchars ou htmlentitios.
M
Matheus TavaresPelo código que você postou não há vulnerabilidade à XSS, mas o que o dincold disse acima é verdadeiro. Dentro das páginas que estão sendo incluídas no seu código, você deve buscar