update html escaping bug