docs for json hijacking (#2)