XSS wird gefixt. SQL-Injection wird bereits von pg übernommen.