Mina, уязвимость в IE работает, только если давать прямую ссылку на загруженный аватар с кодом. Иначе бы все форумы бы ломались простой загрузкой аватара.