OK, wenns ums rechthaben geht:

Ich habe bereits Zeit investiert und so kein Exploit hinbekommen!

ABER: Das ichs nicht hinkriege, bedeutet nicht das es nicht ginge...

Jetzt will ich da aber nicht noch mehr zeit investieren... ich habe wie gesagt dem OP schon hinreichend geholfen.

(Ich persönlich würde nie einen ungefilterten String als RegEx zulassen, sicher ist sicher! Was der OP macht ist jetzt sein Bier...)