Pide «un menú hamburguesa» y es muy probable que recibas un <div> con onclick. Con ratón funciona. Con teclado no se puede alcanzar, y un lector de pantalla no anuncia que sea un botón. Lo mismo pasa con imágenes sin alt, campos sin <label> o el foco escondido con outline: none.

En seguridad pasa algo parecido: el código funciona, pero tiene un agujero. El caso más habitual en el front es pintar con innerHTML textos que vienen de fuera (un comentario, un formulario, una API). Si ese texto contiene HTML, el navegador lo ejecuta.

Añade a tus encargos (o mejor, a tu AGENTS.md): «Usa elementos nativos (button, a, label); todo debe funcionar con teclado y tener foco visible; imágenes con alt; nunca innerHTML con datos externos, usa textContent; sin claves en el front».

Y aun así revisa: estas reglas reducen mucho los fallos, pero no los eliminan. La revisión de cinco minutos sigue siendo tuya.