El sitio almacena el nombre de la cookie y la identificación del usuario en la etiqueta de script después de iniciar sesión. ¿Es este un problema para xss o para el highjack de sesión?

Upfront, diré que este no es mi sitio web y que simplemente estoy realizando una auditoría general (por problemas no relacionados con la seguridad), pero encontré esto en la fuente después de iniciar sesión. Otra etiqueta de script para análisis tiene los usuarios registrados. Dirección de correo electrónico que resulta ser el nombre de usuario para iniciar sesión en el sistema. ¿Es posible que esta información sea un problema? Si es así, ¿cómo puedo crear una prueba para mostrar esto? notablemente el ID de sesión basado en el nombre de la sesión?

Quiero ser responsable en la divulgación de esto, si de hecho es un problema. Mi primer intento fue agregar una ventana de alerta de secuencia de comandos básica a la url para obtener algunos de los datos, pero la url fue saneada por el sistema.

<script>
        var USER = {
            Name: "John Doe",
            idSubject: "5555",
            isLoggedIn: "5555"
        };

        // handle condition for user logged in
        USER.isLoggedIn = (USER.isLoggedIn !== "") ? USER.isLoggedIn : false;


        var APP_PATH = "somesite.com";
        var USE_CACHE = "1";
        var FRAMEWORK_PATH = "somesite.com/framework";
        var DEBUG_MODE = 0;
        var APP_TIMEZONE = "EST";
        var COOKIE_NAME = "FOO_SESS";
    </script>