xss видел , нельзя выполнить код на стороне сайта, Насколько я понял он должен открывать картинку , если там правильно подсунуть то там возможен rfi наверное... Я ошибаюсь?