Не обижусь, насчет тех сайтов я сам ниче не знаю, но у бывшего украинского UMC (сейчас MTS) в поиске по сайту был XSS, мне показывали, сам тогда не шарил