Если 2.0.18 то надо личное сообщение c xss отправить кому то из группы. И войдешь под его ником. Сплоит ищи на ачате. Если версия 19 или 20 с отключенным html то сплоитов под них не было.