[monolithed]

Дай чтоли ссылку с XSS для убедительности.

Не веришь, что такое возможно?
недавно на хабре была статья про то как яндексе XSS вылавливали
Есть даже сайт, который ведет базу XSS-уязвимых сайтов/