location=lol(http://0.0.0.0/)
<abbr title="lol">location=lol
<img src="http://0.0.0.0/" alt="x onerror=alert(1) x" border="0" />
</abbr>
strike one....
si te fijas también puedes inyectar comillas simpes aunque no puedes escapar de las dobles.
Estoy de acuerdo :xD
Al final hubo xss o no?
/* EDITO */
Vale, ya se que no hubo.
si hay, y tambien en google y yahoo y en wikipedia! en todos lados xD
http://twitter.com/sirdarckcat/status/3843562069
Saludos!!