In the end, I had to add "tainting" for all DOMParser elements. Any tainted element couldn't be inserted into the DOM. All of those escapes were quite bad, but not catastrophic, given that JS would only run when clicked on the malicious user tile.
ВСУ запустили «Фламинго» вглубь России. В Москве заявили, что это британские ракеты с украинскими шильдиками16:45，详情可参考WPS下载最新地址
，详情可参考币安_币安注册_币安下载
const arr = [];，这一点在Line官方版本下载中也有详细论述
ЦРУ поставит оружие курдским отрядам для боевых действий против Ирана08:32
Percentile 99.9: 849.926 ms | 1549.755 ms