J'ai réglé le bug

<script>alert('XSS');</script><script>alert('XSS');</script>miko dit :<script>alert('XSS');</script>
<script>alert('XSS');</script>

<h1>miko dit :</h1>
&lt;script&gt;alert(&#39;XSS&#39;);&lt;&#x2F;script&gt;