А у тебя есть возможность изменить action? Или ты пытаешь автоформу зделать? Ну xss возможна если ты можешь встроить в страницу свой html(js) код посредством изменения каких то параметров передоваемых скрипту(грубо говоря и не вдаваясь в подробности), и если ты отправляешь форму(обычную) post на http://hacsite.ru/12.php то следуя из ошибко видно что у тебя отрпавляеться Content-type: text/xml(ну или xslt) в ответе от http://hacsite.ru/12.php но возрашаемое тело документа далеко не xml.