Das eigentliche Problem liegt meiner Meinung nach beim Rendern der Daten in Bonescript. Wir haben deshalb entschieden in Zukunft statt <%= FOOBAR %> <%**-** FOOBAR %> zu verwenden, wodurch ein Escaping durchgeführt wird.