Заходим в редактирование профиля и с помощью IE_XSS_KIT от zFailure кликаем в менюшке на
"Form Select-one2Text". Ищем поле "Comments Display Mode" и меняем то что там написано на
"><h1>XSS!. Теперь если мы пройдём по адресу
и нажмём на "Comments", nо при условии, что в движке включён модуль для работы с ссылками,
мы сможем лицезреть активную XSS. Почему я назвал это Маленьким багом? Потому что вместительность
переменной, куда мы вставили сплойт составляет 10 символов =).