Пассивный XSS - жертва должна кликнуть. (Изя, смотри какие помидоры)
Активный - достаточно просто загрузить страницу со криптом. (Нихyясе помидоры!)
Есть разница?
А вобще, что это за фигня? Тут вопрос не уязвимостей форумов, а принципа работы скрипта.
Модеры спят?

__________________
Full DNS report