Essayez le même payload que sur la version vulnérable : <script>alert('XSS')</script> apparaît tel quel comme texte, au lieu de s'exécuter.