Когда пишеш кому-то в пм, то в поле заголовок прописываеш '><script>Alert(/xss/)</script> , потом
жмеш предварительный просмотр и вуаля, правда не везде канает.