Нашел XSS уязвимость... в запросе .cgi файла... могу в хтмл-код внедрить любой другой хтмл код :-)
Что дальше сделать можно?

К примеру как беспалева потырить кукизы.. ведь не пошлешь же ты напрямую ссылку со скриптами