fix tempalte xss bug