Siento revivir el tema, pero se me han acabado las ideas. He llegado hasta a escribir <script>alert... en todas las cabeceras. Lo he intentado por las cuatro variables que se pasan por POST y en la primera creo que tiene htmlentities igual que en la cuarta. En la segunda no me deja poner otra cosa que no sean las que vienes en el combobox y en la tercera he probrado diferentes maneras de poner "<" o ">" y me da un link invalido. ¿Alguien me puede dar una pista mas?