Нашел XSS в BB теге [url]
можно как нить сделать чтоб он(нужный код) подгружался вне зависимости от пользователя, а не на 'onmouseover'?