PHP : XQuery injection