Ну, как всегда при вводе в поиске:

Вылетает пассивная XSS.

При добавлении комментариев в Новостях также после отправки "><script>alert()</script> вылетает алерт, но после обновления страницы уже ничего нет.