ну вот например в3ять мейл ру, именно почту, а не другие ресурсы, наврядли там есть xss
Зы: 1. пасивная xss что нам дает, с ней моно гнать куки
2. и вообще пасивніе же xss должны прибивать, коль о них много народу знает!