если изменить поле Host в запросе то веб-сервер просто не узнает какому из виртуальных хостов пришел запрос. То есть до скрипта он уже вряд ли дойдет
Только в случае, если виртуальные хосты host-based.
Уязвимость имеет место, то есть скрипт исполняется и в теле XML фигурирует значение Host-заголовка.