в таком случае ты уверен что xss вообще присутствует?вообще там много чего крутится вокруг xss и обхода фильтров,тут надо спецов спрашивать

а насчёт sql инжекта с помощью xss никогда не слыхал,хотя и не удивлюсь что и такое уже делают