Вы используете устаревший браузер. Этот и другие сайты могут отображаться в нём некорректно. Вам необходимо обновить браузер или попробовать использовать другой.
В самой функции дыры не обнаружено. Проблема в том что если ты допускаешь какие-то теги, то можно сделать например <b onmouseover="alert('matrix has you')">
