Yo no consigo instalar IE aquí...xD Así que voy a ir poniendo aquí mis pasos... Y alguien que me cuente si le salta la alerta o no.

El caso es que consigo escapar dobles comillas de una etiqueta SPAN (puede que de otras también, pero aun no he probado), la dificultad esta en poder ejecutar ‭‬javascript desde esta etiqueta (no sirve un evento), así que veo que para navegadores viejos sirve epresionje, sin embargo me lo convierte en un espresionje... T_T
Pruebo algo visto en un link de sla.ckers.org, ¿podré bypassear el filtro? xD

POSIBLE XSS 1:
www.a(((((((((((((((;xss:ex/*XSS*/pression(alert(1));

Si no funcinona esto habrá que buscar otro vector, así que lo dejo para después que tengo que preparar la cena todavía. Básicamente hay dos posibilidades. Usar otro vector en el style, ya sea:

• background-image:
• behavior:
• moz-binding
• ...

Buscaré por sla.ckers.org... Y sino probar con otros tags para escapar algo que no se un style. Es cuestión de probar.

Si nadie lo saca pues terminaré de hacerlo más tarde...xD

Y creo que eso es todo!

Voy a ver como emulo el IE y confirmo si lo tengo o no...=P

¿Cómo es eso que solo va en localhost? ¿Es de SMF? Igual lo han parcheado aquí... Si quieres que lo pruebe por aquí mp!! 

Casi lo tengo...

Click[/code]

Cierto, en el mio tampoco va... No solo es el /u/ si pruebas con otros cada cúal hace algo más extraño...xD
A ver si consigo escapar algunas comillas y meter una alerta

xDDD Esto es la pera... No me puedo fijar porque tengo todo esto descuajeringado... En cuanto consiga arreglar mi menu de edición miro bién...
Me da miedo decir como se hace (no pregunten porque pasa...xD), porque sino empezaran a descuajeringar foros...xD Solo digo que alguien ya ha puesto EL codigo que hace cosas raras anteriormente...  

Si hago pruebas no se puede leer el foro... 
Voy a seguir en mi smf... 

xDDD Porque lo quite...

Bueno, aquí va un bug...xD En cuánto escribo un post abro una etiqueta y no la cierro cargandome todo...xD Aun no se porque, pero lo hace... Voy a seguir indagano!

Dejar de preocuparos por quién puede o no puede utilizarlo... Pensar un posible sitio dónde alguien pueda meter algo y enredar...xD Con el tiempo que se pierde preguntando seguro que alguno ya lo habría encontrado!! 

Y lo que yo he entendido (si la memoria no me falla) es que el XSS de WHK lo puede poner cualquier persona en cualquier post, y como los visitantes pueden ver dicho post van a ejecutar el script... Y el XSS de notxor (creo que era así), por el template debe estar en el 'login' o en el 'reminder' y lo puede ejecutar cualquier persona, registrado o no, por lo que deberá ser un parámetro ($REQUEST, $SERVER...) no saneado.
En cualquier caso luego miraré lo que me parece y si lo encuentro bien y sino... Pues a ver si alguien ha mirado por otro lado y ha tenido más suerte...

Eso es más misterioso que el propio bug...XDD