Дык, вроде бы указали - прямые руки. Что приятно, поскольку ручную инъекцию или XSS можно списать и за ошибку при работе с интерфейсом.