~Real F@ck!~, XSS в названии телефона, а не в уровне. Или у тебя все одно и то же?
В 4 уровне требуется подделать запрос. Менять maxlength - правильное решение. А xss кроется в названии телефона.. естественно, не в явном виде.