XSS-атака возможна из-за недостаточной обработки данных в поле url (профиль). Единственная проверка данных этого поля заключается в том, что происходит проверка на наличие "http://" в этом поле, и в случае отсутствия "http://" ставит его на первое место. Таким образом, код типа:
javascript:{while (true) alert('http:// xss дырка')}
выводит бесконечное количество алертов и браузер виснет.
Пример работы уязвимости: смотреть.

Единственное ограничение на XSS-атаку - это ограничение на количество символов в поле url. Таким образом, поместить достаточно длинный скрипт в это поле не выйдет.

Уязвимость работает во всех версиях Punbb и на сервисе бесплатных форумов Mybb, который работает на модернизированном Punbb.

Официального решения проблемы в данный момент не существует. Попробуйте заблокировать поле URL для пользователей вашего форума.

Автор уязвимости: Alex007