да можно, но при загрузке нужно указывать код. что-то типа http://site/1.jpg?<script>XSSCODE</script>
на скрине всё видно