Ищи на странице перед тем как выдать пользователю текст "document.cookie" и секи все вставки типа <script src=""> т.к. такие вставки должно всегда по пальцам пересчитать, а все лишние - убрать.