после того как пытаешся зарег-тся под ником
"><script>alert("xss")</script>
скрипт проверяет его длину (от 4 до 20 символов).
если его длина не входит в рамки ограничений то выводит к примеру
ник $_POST['nick'](ему передано значение "><script>alert("xss")</script> и по этому вылазит окно.Там не стоит
htmlspecialchars()) имеет длину больше 20 символов.
>>Из кода ясно что переменная не передаеться не как POST не как GET
данные передаються методом POST
>>И что получаеться это и вовсе не уязвимость ?
уязвимость но с нее в данном случае толку 0