解答を見ても理由が分かりません。
どなたかご教授頂けないでしょうか？

図4の8行目で取得した、rqLocの値を、
25～26行目で、+ escapeHTML(rqLoc) + と出力するのは
何となくヤバそうなのは分かります。（rqLocに<script..などど入力されたら）

では47～48行目でrqLocの値をhiddenフィールドに退避させたものを
25～26行目で、+ document.form.loc.value + と出力するのは
セーフになるのでしょうか？

値をhiddenに一度退避させただけで、結果は同じなのではないかと思うのですが...