Ну через js можно много сделать да, просто не совсем понимаю про phpinfo - он показывает куки для текущей сессии, правильно? Значит должен быть запущен на том же хосте, где проводится xss. Такой сценарий вообще существует?