[micscr]

все связано с правами.
Аяксом можно отправить запрос даже на выполнение php кода(и передать этот код), если знаешь где в движке так можно сделать. И запрос пройдет если xss на "админа", т.к. с запросом идет админская кука.