すみません、ふと思ったことですが、XSSよりCSRFの方がいいのではないでしょうか？
XSSは利用者側に損害を与えるもので、今回のようなTwitte...(ｱｧｯ)...Twittooの場合には当てはまらないと思います。
なので、もしサイトのシステム側に損害を与えたならCSRFの方がいいと思います。

それにしてもトークンの使用やHTMLエスケープをしないようなサイトは困りますね...
そのうちSQLインジェクションされちゃうぞお(-人-)ｼﾞｰｯ