Mi sono imbattuto in uno scenario, in cui userinput sta riflettendo nel valore href della tag anchor. Quindi, se metto un test lì, riflette come <a href="/test">
A causa di questa barra predefinita aggiunta nel codice, javascript:alert(1) non verrà eseguita poiché verrà considerata come URL. Anche " non è permesso e dà 400.
In questo caso, esiste la possibilità di ignorare il controllo o qualsiasi altro modo per XSS.