есть такая ссылка типа http://xxx.com/index.php?a=xxx&b=xxx

в переменные A и B можно запихнуть javascript код и он выполняется. как дальше можно раскрутить эту уязвимость(кроме пассивной xss)