risolto, mancava il parametro
allowScriptAccess=always