fix(security): Prevent XSS (closes #4838)(closes #4844)

Ne serait t'il pas plus simple d'enlever simplement "on*"