Изя лох это пассивка,

http://api.vkontakte.ru/api.php?v=2.0&sig=<img+src=.+onerror=alert()>&form at=JSON&api_id=517649&method=getAppFriends