согласен с Constantine

пассивные XSS на icq.com, это далеко не чудеса, их там много, как и почти везде

вот допустим это демонстрирует более изящьный метод получения паролей:
_http://www.icq.com/greetings/cards/145879/sp99l1st/view/

пример взят из статьи hidden`а, сам не стал писать, сразу же скажу для тех кто боится, что ничего там не сохраняется, а выводится на экран