Обнаружил еще КСС в форме забытого пароля, где надо ввести ник: ><script>alert()</script>
Только что со всем этим делать, ума не приложу...