Ошибка: $QUERY_STRING;
А надо:
$_SERVER['QUERY_STRING'];

У меня тоже вопрос по XSS через POST, они в Файрфоксе только у меня одного не выполняются, или всё работает нормально?