On va commencer par exploiter la faille XSS pour afficher un alert() dans le navigateur de "gerant".(utilisez la version de <script> qui insère directement du JS, pas celle qui utilise src="...")
Que faut-il taper dans le formulaire message ?
(vérifiez d'abord avec votre voisin)