update xss bug