JVN#50327700 PHP におけるクロスサイトスクリプティングの脆弱性がよくわからない件について

PHP の設定で display_errors=off である場合は、この問題の影響を受けません。

の時点でまぁ自分の手元にはほぼ影響ないんですが、該当の記事からのリンク先であるPHPのChangeLogにはそれっぽいのがかいてなくて非常に気持ち悪い思いをしてるわけです。
こまってWassrでつぶやいてみたらますがたさんよりこれじゃないかみたいなレスをもらったけど、Cookieまわりっぽいので、CookieってXSSないとそもそもかきかえられないよなぁ（いや、レンタルサーバとかだといろいろあるけえど）とか悩んでるわけです。で、もし詳細ご存知の人いたら教えてください。

というわけでメリーXSS