تقوم الطريقة ` has sneaky javascript()` في lxml html clean بإزالة علامات البار المقلوب بشكل غير صحيح قبل التحقق من كلمات CSS الخطيرة. وهذا يسمح لسلاسل الهروب Unicode في CSS بتجاوز مرشحات `@import` و`expression()`، مما يتيح تحميل CSS خارجي أو نصوص برمجية عبر المواقع (XSS) في المتصفحات القديمة. السبب الجذري هو عملية إزالة غير صحيحة للشرطات المقلوبة في الملف `clean.py`، بالقرب من السطر 594. وعلى وجه التحديد، فإن السطر `style = style.replace(’‘, ’‘)` يحول الحمولات المفيدة مثل `@69mport` إلى `@69mport`، مما يؤدي إلى تجاوز قائمة الحظر. تفسر المتصفحات الحديثة `69` على أنه الحرف ’i‘ وفقًا لمواصفات CSS، مما يسمح فعليًّا بتنفيذ الأمر `@import`. يؤثر هذا الخلل أيضًا على اكتشاف `expression()`، مما يمثل خطرًا في الإصدارات القديمة من Internet Explorer. تُثبت تجربة إثبات المفهوم أن تعليمة `@import` التي يتم حظرها عادةً يمكن تنفيذها بنجاح باستخدام تجاوز الهروب من Unicode. وقد يؤدي ذلك إلى تسرب البيانات عبر محددات السمات، وإعادة توجيه الواجهة، وهجمات التصيد الاحتيالي. وفي المتصفحات الأقدم، قد يسمح ذلك بتنفيذ هجمات XSS كاملة عبر الدالة `expression()`.