えむけいさん曰く「結局無修正のまま公開されてしまいました」 - hoshikuzu

ISO-2022-JPの仕様とパッチ(どちらも広く公開されています)を読めば瞬間的に思いつきそうな変形版の攻撃

ISO-2022系、Shift_JIS系以外のエンコーディングにおいても、非ASCII文字列の取り扱いに不備が「あった」と判断できること。今回のアドバイザリにはそれらが触れられていないこと。

サーバサイドにしてみると業腹かもしれないが、エンコーディングにおいて不正なものはやはりHTMLの一部として埋め込まれてはいけないと言える。こうした視点はまだ徹底されていないようだが、XSS対策として絶対に必要だ。他のブラウザに関しても恐ろしいことがまだまだあるからだ。

ユーザ起源のデータをHTMLに埋め込むときに全部、文字参照でエスケープできるようならそうしてもよい。いわゆる過激なエスケープだ。これなら当面安心だ。