Традиционно через ХСС тащат аутентификационный куки админа. Не то чтобы это прямо ахтунг, но и не минорная проблема, учитывая то, что эта проблема очень распространена.

Вот, например:

http://pen-testing.sans.org/blog/2016/08/19/azure-0day-cross-site-scripting-with-sandbox-escape