никто тут не собирается ничего приводить, тут только пустозвонить гаразды.... никто даже не посмотрел что на 404 ошибке в юкозе сапа уже не выводится, а значит некуда лепить эту пассивную XSS....

Еще... Кража кука ничего не даст, его нельзя ни расшифровать ни использовать у себя на компьютере....