[crazzy]

Tror annars hnn tänkte på att du inte filtrerade $_GET['id'] nånstans.
htmlspecialchars() är en fin funktion för det.

edit: Se Clarence post nedan, htmlspecialchars är INTE en fin funktion