cacucko, никак не заюзаешь. Страница с xss недоступна авторизованным пользователям, следовательно сессию увести не получится.