следующий код уязвим для XSS на основе DOM?

Question

Аудитор безопасности сообщил мне, что следующий фрагмент html / js уязвим для XSS.

Короче, вот оно:

if (window.location.hash) {
        var hash = window.location.hash.substring(1);
        var elem = $('#reports_nav_links .' + hash);
        var path = elem.data('path');

аудитор безопасности не предоставил никаких подробностей о том, как это можно использовать для отображения окна предупреждения.

URL, сгенерированный по умолчанию:

/ report # q1

Если он уязвим, не могли бы вы также привести пример полезной нагрузки, который покажет окно предупреждения с этим кодом?

Спасибо, Дэн.