Я прекрасно знаю, что такое XXS - joomla включает в главную страницу записи из БД - если там (в БД) будет XSS то она окажется на главной странице. Дошло?