Нашел сайт с xss в теге iframe в параметре src. Т.е. работает <iframe src="javascript:alert('XSS')" style="display:none;"></iframe>. Но вот никак не получается сливать куки. Что только не пробовал, что только не читал Можно ли как-то красть куки через данную уязвимость?