Geister im Script - Suche Exorzisten

[owi]

Ich hab echt keine Ahnung was da gerade in meinem Script los ist! Ich kann es mir nicht erklären ...

Ich habe nen ganz normales inputfeld .. mit der value ' . $news . '

wenn ich in dieses feld jetzt " NEWSBEITRAG " rein schreibe und in der Mysqldatenbank speicher dann ist in der MySQL datenbank plötzliich:

"NEWSBEITRAG <div class='

ich habe KEINE AHNUNG wo dieses <div class= her kommt.

<textarea 
style="width:500px; height:200px;" 
class="boxform" 
name="news" 
id="news" >
' . $news . '</textarea> 

Was kann man da denn bitte falsch machen? die Variable wird nirgendswo anders angerührt.

Die wird nur 1x um die durchs Script zu schleifen im hintergrund über nen hidden field mitgenommen:

<input type="hidden" name="news" id="news" value="' . $news . '" /> 

am ende hab ich es dann einfach so probiert:

$news1=str_replace(" ",'<div class=',$news); 

Ergebniss = da waren es dann nicht mehr 1x "<div class=" sondern dutzende anderer Sachen wie "/>" oder "class=" ....

[h3ll]

Wo kommt $news her?

[Quetschi]

Was sagt ein var_dump($_POST["news"]); im empfangendem Script?

[Abraxax]

bitte wende noch htmlspecialchars() o.ä. auf $news bei der ausgabe an