Normalmente el atacante tratara de insertar tags como , o , pero en caso de fallar, el atacante puede tratar de poner tags que casi siempre están permitidas y es poco conocida su capacidad de ejecutar código.