Если у нас есть Xss, а на вход в админку нужны только куки, почему бы просто не взять админские куки на пользование и все? Зачем выставлять левому пользователю админские права (что, несомненно, палевно)