Может ли быть xss в ответе аякса если не фильтруются ?

пробовал добавлять html / body head и т.п.

ничего не выходило