на одном сайте с помощью конструкции &#60script&#x3E;alert('xss')&#60/script#x3E; в теле обьявы появляется <script>alert()</script> но алерт не вылезает. не судьба?))