Tjaja .. Javascript statt Avatar URL... endlich fällt das mal jemandem auf. Ich war kurz davor diese bewusst eingebaute Sicherheitslücke zu schließen weil ich dachte, dass es eh keiner mehr merkt .. *hust*
Auf jeden Fall geht's jetzt nichtmehr. Danke für den Hinweis.