lovas.ru
вообще бараги какие то, не люблю барыг
Заводим ак. Грузим фотку к ней добавляем коментарий с нашим кодом

напрмер таким </SCRIPT>">'><SCRIPT>alert(4)</SCRIPT>
Возможно есть и sql inj

с помощью подзапросов к БД, вывел юзера 'lovas'@'localhost