Всё очень просто и примитивно.
В сообщении вообще нет фильтров. Ломаем травиальным:
"<img src=javascript:alert('ok')>"