Я вынужден вам все разжевать:
<script src='//mychamber.ru/build/ui.js'></script>
Привет {q}!
<script>
q = 'alert(11)'
</script>
ЧТООООО нужно засунуть в q чтобы ОНО выполнилось?
cyber, а ты мозги себе купи, на пару с ним, XSS блин. Сначала выучите что это такое. Шаблонизаторы его как раз и исключают.
Еще спорят со мной блин....
А то написал алерт в выражении и "КОКОКОКО АЛЛЕРТ ВЫПОЛНЯЕТСЯ КОКОКО" ИИИИ? с чего бы ему не выполнятся то?