Nū... piemēram... Grūti pateikt. $_SERVER['PHP_SELF'] GET mainīgos neuzrāda, tātad, piemēram, javascript caur GET nepadosi (nu padosi, bet tāpat nerādīs). Ja lieto mod_rewrite, tad var mēģināt iebarot js vai html injekciju.
Principā, palasi htmlspecialchars() manuāli, lai saprastu, ko tas dara un tad izspried pats.