ок! посмотрим

в самом чате там вроде все проверяется
но там вроде есть дополнительный скрипт для поиска юзера, в нем вроде xss есть