Чат то на пхп, но клиентские браузеры то не обычные, а специальные wap-браузеры. А значит стандартные javascript XSS не катят.