юзер вводит, допустим, имя и сохрняет настройки, обновляет страничку - подгружается js скрипт, который формирует табличку с его именем через innerhtml. мы можем через xss в DOM объекте подгрузить произвольный скрипт? у меня не получилос( только косвенно... через инпутовский автофокус.