Во всяком случае я проверял gmail на xss , там я его не нашел! Может и есть и я пропустил ....такое тоже вазможно..