ХЗ может и находил кто...
Короче XSS
заходим в "Мои друзья" переименовываем группу например "Работа" на
<img src=antichat onerror=alert(1)>
После того, как мы это сделаем вылетит алерт...
Но она не будет действовать как активная. Если обновить страницу ничего не будет наш злой скрипт будет мягко говоря "испорчен" фильтрами тоесть реализация очень геморная. Там странный фильтр стоит бьет слеши и "javascript" Через onerror все работает.