Ктото из наших (вроде SpiderX) находил такую вещь в IE - если в картинку прописать яваскрипт он выполняется... Может тут это имееться ввиду? Хотя это скорее всего ошибка наших "хакеров"