Гуру подскажите, возможно ли заюзать пассивную xss как-то в таком варианте:

Есть некая post форма авторизации по ajax, возвращаются данные с xss. Казалось бы - всё прекрасно, отправляй клиента с post-ом на ajax обработчик и радуйся. Но возвращаемые ajax данные - Content-Type: text/xml; не исполняется там js, текстом выводит.

Как быть? Всё шляпа? Ничего не возможно придумать?