Передаються методом POST данные значит. Напрямую не получиться заюзать. Сможешь сделать на своем сайте html форму там параметр action формы будет уязвимый скрипт. И прицепить автоотправку формы - если на уязвимом сайте не проверяется реферрер - то круто...