dddoomsday
Теоретически можно, все зависит от фильтра на стороне сервера. XSS - это лишь явление, достичь его можно многими путями с помощью пентеста и экспериментирования.