Хм. Посоветуйся с gh0st'ом, он ломал.
Вообще-то, защита от скриптовых инъекций там хорошая, прямо не подберешься.
Но есть очень хорошая штука, при установке аватара, посылаешь админу линк: http://sniffer, и потом оперативно воспользуешься его сессией