Введенный код в prompt()
 

Так было задумано создателями языка?

var ent = prompt("Введите код", "");
document.write(ent);

выполненный код вызовет окно prompt и запишет полученные данные на страницу. Но JS не только запишет полученные данные, но и выполнит код введенный в prompt, например примитивный <script language="JavaScript">alert("lol");</script>. Так и должно быть?

Естественно.

А что, в этом, например, случае такого произойти не должно?

document.write('<script>alert("lol");</script>');

Но ведь код может быть и не таким безобидным?

ну дык замените в нем спецсимволы:

<script>
var ent = prompt("Введите код", '');
document.write(ent.replace(/</g, '&lt;').replace(/>/g, '&gt;'));
</script>

Ты боишся что пользователь сам на себя произведет XSS атаку? Стырит свои же куки и зайдет на твой сайт под своим же именем.

:D

Какой код? А сама возможность вызвать document.write безобидна?

Да. Он изменит страницу для себя. Для других пользователей она останется прежней.