Обсуждалось это достаточно давно и обсуждать это ещё раз я не буду.
А если в крации, то было решено, что никакой ценности пассивные xss на большинстве сайтов не представляют, исключение - xss на почтовиках.