Скиньте примеры ссылки, которая отправляется жертве при эксплуатации XSS. Желательно с document.location ... Тысячу раз перепробовал, все никак.