Тока что нашел одну ХСС у себя на форуме на mybb.ru, наверно баян, но все же.
В профиле есть вкладка "остальное", в админке можно разрешить пользователям заполнять ее.

Пишем <script>alert()</script> и вуаля. А дальше ищите дурака админа, который разрешил эти поля.
Проблема в длинне. Максимум на серве 999 символов, а там, кто как поставит.