одна большая дырка

правильно, речь пойдёт об ИЕ ^_^
недавно (ну, месяца два назад) c удивлением обнаружил, что в ИЕ работает даже такая конструкция:

<img src="javascript:alert(1)" />

что тут можно сказать? только сабж ^_^