xss может быть не только в бб тэгах.
Нужно вовремя поставить заплатку. Хотя между открытием xss и выходом заплатки может пройти время.