nightmare, xss это не только кража кукисов. с активной xss, например, можно сделать фишинг форму для ввода пароля. нужно все скрипты запрещать. фильтрацией. посмотри как на mail.ru в сервисе "мой мир"