↑
Судя по тексту это скорее XPath инъекуция, о которой более подробоно можно почитать например на сайте OWASP или в блоге разора (ссылку прикладывать не буду, если надо сам найдешь.)