XSS encontrado en el sitio web de United Airlines

Strukt y Burelogic han encontrado un error XSS en United Airlines (artículo completo aquí) . Aparentemente estaban usando esto para protegerse de XSS:

  

Básicamente, el código anula las funciones nativas alert() , confirm() , prompt() , unescape() y document.write() y las anula, por lo que llamarlas no hace absolutamente nada. Esto se implementó como una "protección XSS".

Me preguntaba si el uso de una etiqueta base para apuntar a un archivo js con una carga útil XSS simple estaría bloqueado por la misma función que bloqueó el XSS en primer lugar.