↑
Пускай поздно, но промолчать не могу.
Для вас и других, кто прочтёт сообщение.
XSS разделяют на:
Stored или Persistent - хранимые (в простонародье активные)
Reflected - отраженные (... пассивные)
DOM-Based
Self-XSS (как Stored, так и Reflected) - исполняемые только на личных страницах и сценариях пользователя и не доступные другим пользователям
То что вы описываете, это называется User Interaction (действие пользователя). Соответственно бывают и Stored XSS with/without User Interaction, так и Reflected XSS with/without User Interaction