Чтобы сработала XSS осталось добится, чтобы вставился пробел вмежду тегами img srcset. Символы \ и / заменяются на %20. Подскажите куда можно еще копать?