Quem ainda não conseguiu resolver o desafio, lá vai a dica pra vocês dormirem tranquilo após concluir ele: Procurem por bypass de csp. Sim, é o CSP que está impedindo teus payloads de XSS

E sempre fiquem ligados no console do navegador