Form alanlarında bunu girdiğinizde eğer alert mesajı çıkıyorsa girdileri temizlemiyorsunuz demektir
<script>alert('xss test');</script>

korunmanın yollarıda basit
genellikle htmlspecialchars kullanılır
htmlspecialchars($veri, ENT_QUOTES, 'UTF-8');

tüm htmli temizlemek isterseniz (sadece düz metin olması gereken yerler için)
strip_tags($veri)
kullanabilirsiniz