В общем, XSS — это игра с контекстами. Если сервер экранирует, но скрипт на клиенте вставляет без проверки, всё равно можно вписать код. Фильтры WAF часто режут стандартные payload-и, поэтому и приходится искать редкие event-хендлеры, которые не распознаются. Особенно радует, когда в DOMPurify находят дырки — и это вроде «золотого стандарта». В общем, без глубокого понимания, где и как ввод обрабатывается, ловить XSS толком не получится.