Есть reflected XSS и вот такой код отрабатывает:

javascript:alert(1)

Но вот такой:

">alert(1)

проходит но уже блочится xss auditor-oом.

Можно как-то слить куки не добавляя внутрь страницы ?