в принципе всё так, только основная цель вызов алерта это сильно =)
и атака выполняется не на конкретного пользователя, а обычно массово, на того, кто зайдет в тему с "опасным" постом =)

и основанный не на ява-скриптах, а на ошибках кода при обработке их