А есть для 2.0.18 такой XSS, чтобы в других браузерах (кроме IE, где её и так нет) не была видна "подозрительная" строка? В FF этого можно добиться, сделав size=0, а вот в Опере вылезает всё равно (хоть и очень маленьким шрифтом), причём, в виде illegal-url, соответственно, цветом тоже не скроешь, подчёркивается как ссылка и, наверняка, вызовет много вопросов...