в общем да.
когда дефейсил нужно было в поле текст ввести что-то типа <script>alert("XSS")</script>
или фотяб <h1>XSS</h1>