안녕하세요 qefoi님
XSS와 같은 클라이언트 사이드에서 발생하는 취약점의 경우, 반드시 제 3자가 필요합니다. 그렇기 때문에 희생자가 반드시 필요하고 그 역할을 하는 것이 봇입니다.
단순히 /vuln에서 XSS를 트리거해도, 페이로드를 입력한 qefoi님 한테만 영향이 가게됩니다.
워게임의 목적은 플래그를 획득하는 것이고, 플래그는 봇의 쿠키에 저장되어있습니다.
따라서 /flag를 이용해서 봇이 우리가 작성한 페이로드에 방문하게하여 봇에게 XSS 공격을 수행하고 플래그를 획득할 수 있습니다.
질문이 명확하지 않은 상태에서 답변을 드렸는데 이게 도움이 되었으면 좋겠습니다. 만약 다르다면 조금 더 구체적으로 질문해 주시면 답변드리겠습니다!