Как следует проверять (экранировать) введённые пользователем $email и $message перед отправкой функцией mail()?
$headers = 'Content-Type: text/plain; charset=utf-8' . "\r\n" . 'From: ' . $email;
mail('[email protected]', 'Subject', $message, $headers);