selamlar ,
xss zafiyeti ile direkt olarak shell yüklemesi yapılamaz.ikinci sorunuza gelecek olursak xss'in bulunduğu get parametresi ile sql sorgusunun çalıştırıp çalıştırılmadı ve mysql de olan izinlere bağlaıdır.
en kötü olarak xss ile document cookie alınarak admin paneline giriş yapılır.