Может ли быть xss в ответе аякса если не фильтруются ?
пробовал добавлять html / body head и т.п.
ничего не выходило