да, на старой версии пропускает сочетание javascript:, а на новой, для незарегистрированных пользов. e-mail не ограничевается кавычками.