После долгих лазаний по контакту нашол одну пассивную XSS:

она нахходится в фильтре друзей:

открвываем "мои друзья" и в фильтре друзей пишем код)!



не знаю можно ли это както применить, но факт что она есть.