В марте действительно XSS через аватару работала на ура. Хреново, что пас в куках не хранился, только сессия тырилась, а у нее срок жизни.... Зато можно было без проблем сменить мыло и пас.

А в мае действительно поставили новый движок, да еще так по дебильному, что у меня теперь админский пас к своему тестовому форуму не подходит, и выслать его нельзя. К тому же регистрация временно прикрыта.