еще интересный момент: xss все же работает, но только для одного юзера форума (лол).
я просмотрел логи снифера и увидел что хэш пришел от одного единстевнного юзера. это было 4 дня назад. тему с xss просматривали и другие но хэш от них уже не пришел на снифер. хрень какая-то получается!!))