пробуйте подставлять в адресную строку вот эти скрипты для проверки уязвимости:
alert()
">alert()
'>">alert(/XSS/)
alert('xss')
alert('A');
">alert(document .cookie)