FIX: escapeHTML function