XSS в Punbb<=1.2.14 & Mybb.ru

В профиле в поле веб-сайт идет проверка на наличие "http://", и если этой фигни нет, то она автоматически ставится на первое место. Таким образом, код типа:
javascript:{while (true) alert('http:// xss дырка')}
работает.

Единственное что - плохо, что длинна строки ограничена. Но как минимум хороший сниф можно будет всунуть без изврата с аватарми, да и алертами помучить админа.

Источник: http://forscripts.moy.su/blog/2007-04-10-40
Пример работы: http://forscripts.3bb.ru/viewtopic.php?pid=9#p9