Ах, XSS — это старое доброе зло веба, помню, как в нулевых многие сайты просто не парились с фильтрами, и вставить скрипт было проще пареной репы. Сейчас, конечно, защиту усилили, но ляпы всё ещё попадаются, особенно с динамическими приложениями. Главное — не дать хакерам расслабиться, иначе "здрасьте" — и снежный ком из проблем.