вобще-то да. есть такое. Через чат потому что в ящики заходили, верно.
Но все же я продолжаю утверждать что такие xss , которые требуют принудительного выполнения в браузере жертвы не очень эффективны)).