Тыкнув в поиск одну кавычку на сабже, обнаружил весьма приятное сообщение: Server Error in '/' Application. Unclosed quotation mark after the character string ''.

Далее: вводим любое ключевое слово SQL, например, OR — о, чудо! Опять ошибка, но уже другая: Server Error in '/' Application. Incorrect syntax near the keyword 'OR'.

Т.е. получается, что строку поиска никто не эскейпит. Что мы из этого получаем? ;-)

Ссылка на уязвимую страницу тут