El título prácticamente lo dice todo. Parece contraintuitivo escapar dentro de un bloque <noscript> porque no se debe ejecutar ningún js que un atacante pueda inyectar allí. Pero, todavía soy bastante nuevo en esto, así que pensé que sería prudente preguntar.
Para mayor claridad, este es el contexto del que estoy hablando:
<noscript>
<img src="<?php echo 'Should I escape this url' ?>" />
</noscript>
Sí. Siempre debe escapar de datos no confiables. Aquí hay un ataque para tu fragmento (pseudocódigo):
<noscript>
<img src="<?php echo 'you should always escape everything,
dependeing on the context. This context is url in an attribute,
you should escape it appropriately. otherwise " />
</noscript>
<script>alert("you will be vulnerable")</script><noscript><img "' ?>" />
</noscript>
Lea otras preguntas en las etiquetas html xss attack-prevention