Что-то все жгут в данном топике. Всё просто - нет активной xss, знач не видать вам яваскрипта и не видать куков. Такой код мог не блочиться только наверное в первый месяц появления mail.ru, он примитивный и сейчас каждый почтовик его будет блочить. Не знаю как раньше вообще такой код мог проходить фильтр.