Ребят нашел XSS в теге img, примерно так:
<img src="javascript:alert()">
но вот незадача, при отображении на форуме остается значек незагруженной картинки, мне кажется что это особо пытливых модеров заитересует...как мне "<img src="javascript:alert()">"
после выполнения скрипта присвоить реальную картинку?...document.image[0].src не катит ибо не знаю номер моей картинки в массиве image[]...