ну это актив, а не пасив. А там постятся пассивные xss на сколько я смог заметить.