Читаю всё это про разные event-handler’ы и реально удивляюсь, сколько всего можно использовать, чтобы обойти WAF. Особенно про onscrollsnapchanging и onbeforeinput — ни разу даже не встречал их в работе, а тут они «пролетают». Пока только учусь, но уже понимаю, что старые payload’ы с alert(1) почти без шансов пройти. Вот такое ощущение, что XSS постоянно эволюционирует и держать всё в голове — большая задача.