grazie, ho risolto.
il problema era <param name="allowScriptAccess" value="always" /> con il param settato in modo sbagliato