А что можно совершить при помощи xss
 

например возможно ли разместить какой нибудь javascript код, на уязвимом сайте, который будет выполнять куча запросов на сервер . Вообще что можно взять при помощи xss по мимо куков?

всё, что может JS:agree:

Ну , а что может js для работы с сервером?)

если не учитывать куки - то изменить внешний вид страницы, перехватить ввод логина\пароля, чутка нагрузить сервер запросами. да тысячи их. почему вы спрашивате?

Да просто интерресно)

все связано с правами.
Аяксом можно отправить запрос даже на выполнение php кода(и передать этот код), если знаешь где в движке так можно сделать. И запрос пройдет если xss на "админа", т.к. с запросом идет админская кука.