Кстати, тут код передается в url.
Вспоминается мне html inhection на coinbase(не реклама). Когда html теги в урле закодированые в ancii декодировались и код выполнялся)