fix unescaped `&` in parameter values