Есть незначительный баг - можно вставить скриптик в ник, который сработает при клике на нем.
Ник например такой : %22%2Balert%28%29%2B%222