[Malleys]

Я не знаю Node.js, и выполнит ли он через eval <script></script>. Но думаю разработчик уж точно бы не стал такое делать на сервере ради вывода в браузер.

Конечно же не выполнит, если только специально не написать выполнение значения параметра запроса при помощи eval или vm.runInNewContext, что совершенно неправильно делать, поскольку открывает полный доступ к серверу.