Sammy.js: Whitespace + XSS fixes