HttpOnlyついてても、Cookieをドメイン全体で設定してる場合でサブドメインにXSSがあると経由して攻撃できたりする