Хай народ. Нашёл недостаточную фильтрацию вводим данных...
 
Заходим: http://my.mail.ru/mail/multi.el/friends#page=/my/import?
 
Жмём: Отправить приглашение на e-mail
 
А дальше введите
Кому интересно раскручивайте дальше
 
P.S. Раскрутите до XSS описывайте в теме (у меня нет времени)

Немного не по теме, но раз уж случай, хочу рассказать об одном наблюдении.
 
Дело было вечером, делать было нечего - страдал фигней под XP. Вытянул значок "Свернуть все окна" с панели быстрого доступа на значок браузера :-).
 
В результате обнаружил интересный факт. У файлов с расширением scf расширение скрывается, даже если включен показ расширений в настройках. Внутри файла можно дать любую команду Explorer, включая запуск EXE. Можно ли это использовать для полноценного скрытия расширений файлов?