Если XSS активная - то не надо никакую ядовитую ссылку кидать, яваскрипт выполнится автоматически при заходе на страницу!