Если есть пассивная ксс, и я отправил кому-то адрес со скриптом который ворует печеньки, то куда они сохранятся(печеньки)? В изображение?