add xss test