Aha. Dass es eine andere Seite gibt, dachte ich mir.

Es kann schon sein, dass es auch an deinem Skript liegt.
Oder an PHP selbst.

Die mail()-Funktion von PHP besitzt ein paar Sicherheitslecks.
http://securityvulns.com/Qdocument509.html
http://securityvulns.com/Qdocument508.html

Du solltest auch \0 und \t und sonstige Leerzeichen herausfiltern. Und zwar überall.