Estaba instalando phpids en una prueba en mi localhost para implementarlo en joomla y va todo bién exepto por este script que no me lo filtra:

http://127.0.0.1/joomla/phpids/docs/examples/example.php?test='" onload();

Si pongo una comilla simple o doble si me lo filtra pero al poner eso completo no.
De todas formas un ataque de tipo <input type="text" name="mail" value="" > donde en una petición GET se rellene ese input puede provocar un XSS.

Todo está configurado por defecto. Hice algo mal? o hay que avisar?