Скрипт, скорее всего, нужно выполнять в document onload. Возможно на странице есть ещё какие-то скрипты.

Правильнее было бы сделать скрипт для события onsubmit, который без двойных заметных редиректов отправлял данные к нам на хост. Если XSS не в login.php, пишут скрипты, которые остаются на странице даже после того, как юзер её покинет переходом по ссылке на другую.