первая часть правильна- насчет пассивки а насчет
просто можно сказать что в хороших руках и хер баллалайка а значит при определенном умении можно завладеть куками юзера зарегенного на этом сайте...автору посоветую поискать по теме "Пассивные XSS" там все расписанно от "А" до "Я"