на странице
http://spacom.ru/?act=options
в
"Установки графического пакета:
Полный путь:"
пишешь:
javascript:alert()//

и в итоге на http://spacom.ru/?act=view
или на других страницах где отображается логотип, вылетает Алерт (пасивная ксс)

фрагмент кода:
<img src="javascript:alert()//image/planets/8.gif" alt=" Планета " width="25" height="25">

чтобы решить проблему, нужно сделать поверку, чтобы начиналось с HTTP:// и ни с чего другого