пассивная потому..что тебе надо давать жертве ссылку на загруженный скажем аватар со скриптом.
т.е. это пассивная атака.

Другое дело еслиб к приемру вставка скрипта происходила в форуме, и тебе не надо б было нечего жертве давать.

КОнечно тут спорный вопрос активная или пассивная Xss в експлойте этом.
Но я подразумевая под активной Xss это когда ты оставил внедрённый скрипт на видном месте, в форуме, в хостевой и т.п.
А под пассивной когда ты формируешь запрос или картинка со скриптом...тут тебе придёться впарить жертвее чтобы зашла на ссылку.