fix api xss