http://mymail-in.net/
срабатывает 11 XSS в теле письма. проверено с помощью "SMTP XSS Tester v1.0"
// Наверное это можно считать за активную xss?