É seguro usar window.location.href sem nenhuma validação?

Por exemplo:

<script>
    var value = window.location.href;
    alert(value);
</script>

No exemplo acima, ele é vulnerável a ataques de cross-site scripting (XSS)? Se for, então como? Como o invasor pode modificar o valor de window.location.href para o conteúdo malicioso?

Editar (Segunda Situação)

Este é o URL: www.example.com?url=www.attack.com

Apenas assuma que eu tenho uma função getQueryString () que retornará valor sem validação.

<script> 
    var value = getQueryString('url'); 
    window.location.href = value; 
</script>

Mesma pergunta, é vulnerável a ataques de cross-site scripting (XSS)? Se for, então como? Como um invasor pode simplesmente usar "window.location.href = value" para executar o XSS?