Присоединяюсь. XSS никуда не делись. Быть может, совершенно дебильных вариантов вроде хсс в родном пхпшном phpinfo() стало меньше, но в целом, они живее всех живых. Зачастую одна маленькая пассивка может позволить подняться чуть ли не до рута.