update @ Sat 9 Oct 04:59:39 EEST 2021

content/js/config/index.js

@@ -54,4 +54,15 @@ const locations = {
         ]
     }
 }
-
+const escape_HTML = str =>
+    str.replace(
+        /[&<>'"]/g,
+        tag =>
+        ({
+            '&': '&amp;',
+            '<': '&lt;',
+            '>': '&gt;',
+            "'": '&#39;',
+            '"': '&quot;'
+        }[tag] || tag)
+    );

content/js/shell/func.js

@@ -168,5 +168,5 @@ function whoami() {
 
 
 function echo(argv) {
-    return argv.join(" ");
+    return escape_HTML(argv.join(" "));
 }