Résumé : l'attribut contenteditable est une faille XSS en soi car il permet d'injecter une balise script.

Pour éviter ça, contenteditable="plaintext-only".

Et si on a besoin de texte enrichi, on laisse contenteditable="true" mais on sanitize...