Собственно, на html можно было просто влепить div на 100%x100% с z-index:1000, в связи с чем юзер просто не сможет ни на что нажать.
А как сделать тоже самое в xul-e?

Можно приостановить работу окна, установив третий аргумент XMLHttpRequest().open() как false (см. http://www.w3.org/TR/XMLHttpRequest/#open). Но я читал, что это порочная практика, поскольку для пользователя плохо, что вся работа блокируется. Можно выйти из ситуации менее болезненным путём: временно заблокировать все нежелательные управляющие элементы окна (кнопки и т. д) - например, через свойство disabled. По окончании запроса или при ошибке запроса их можно разблокировать.

http://forum.mozilla-russia.org/uploaded/lock.xul.txt

Работает, спасибо.
(через <stack>)