Н-да. Вот раньше с этим сервисом был действительно баг, т.к. работало следующее:
http://win.mail.ru/cgi-bin/deleteok?Address=<script>alert('Hello');</scritp>
Ну вы поняли.
Теперь эта дырка прикрыта (уже более, чем пол года назад), а жаль...