Z otázky jsem pochopil, že zjevně nejde o to, jak to udělat z pozice vývojáře té webové stránky, ale z pozice jejího uživatele. Napadá mě:
1. Na té konkrétní stránce bych vyzkoušel zadat do adresního řádku javascript:alert(1). Bacha, při copy&paste prohlížeč nejspíš požere „javascript:“ kvůli self-XSS. Na některých webových stránkách to neprojde (nezobrazí to alert) kvůli CSP.
2. Potom lze vymyslet zbytek kódu, asi se bude hodit document.querySelector nebo document.querySelectorAll. Může se hodit i obalit volání do funkce void, aby kód nevrátil žádnou hodnotu, kterou by přepsal obsah stránky. Nebo možná bude jednodušší IIFE, tj. (function (){…})()