es javascript y javascript se ejecuta al lado del cliente/navegador, al intertar leerlo el navegador interpretara que es javascript y lo ejecuta, otra cosa no es en el texto de una imagen porque no es una imagen como todos creen.
WTF!, entonces es posible la ejecucion de codigo arbitrario, dentro del texto de la supuesta "imagen"