Во-первых, я не считаю, что там есть xss, которое изменяет какие-либо параметры .. Это было бы слишком просто ...
Во-вторых, я так и непонял, что ты хотел сказать имея ввиду работу скрипта через почтовую программу ...
Я могу ошибаться, но по-моему это развод ...