Problem je v okamziku, kdy se posila HTML mail. Ten se, pokud uzivatel chce, zobrazi v HTML. A zde je kamen urazu - pokud HTML obsahuje JS, tak se tento pochopitelne spusti. Webmaily se pokousi HTML filtrovat. Jenze jelikoz se prohlizece pokousi interpretovat i spatne napsane HTML, je silne pravdepodobne, ze nektere chybne HTML odfiltruje ten filtr jinak nez ho browser interpretuje a JS kod se podari zobrazenim mailu spustit.
P.S.: Kdyby se pouzivalo to "zbytecne" XHTML, takovehle problemy by nebyly...