Блин,  да на фарите.ру есть куда более интересная дырка (пока не закрыли) без особых проблем при желании можно поиметь чужой пароль ... а не глупые HTML тэги