работает во всех версиях Ie со стандартными настройками безопасности.
Ты неправильно наверное её юзал.
Закачал к примеру сплойт в качестве аватары..залез в хтмл код и нашёл ссылку на аватару...если она неполная делай полный путь и вставляй в урл...вот и пассивная Xss