Заметь, Xss там, где ее быть не должно Что не может не радовать
И не всегда можно инъекцию раскрыть (примеров полно)