При переходе по ссылке видим, что нас просят ввести имя. Вводим /?name=ghazy и видим следующее: Видим, что наш ввод отражается на странице. Попробуем базовый пэйлоад, типа <img src=x onerror=alert()> Похоже, что ввод фильтруется. Давайте откроем исходный код и посмотрим что случилось с нашим пэйлодом: Если попробовать вызвать ошибку, например, отправив параметр name как массив, то можно увидеть ошибку: Итак, становится понятно, почему наш ввод фильтруется. Он попадает в php функцию htmlspecialchars.