Итак, новые подробности: уязвимы не сообщения, а поле названия tZers.
ICQ tZers - это небольшие анимированные по технологии Flash персонажи и различные "смайлы".
В Миранде с плагином ICQ Plus можно вручную изменять это поле и вставлять туда html.
С javascript пока не все ясно.
Тут лежит видео, где все это наглядно демонстрируется http://rapidshare.com/files/73627439/ICQ6HTMLZERODAYEXPLOIT.rar.html