WAF реально часто режут самые простые и известные payload'ы, поэтому редкие event-handler’ы вроде onscrollsnapchanging действительно иногда проходят мимо. Но суть в том, что большинство XSS — это неправильно обработанный ввод или неверный контекст вставки, а не суперэкзотика с обработчиками. Редкие хэндлеры быстро режут, поэтому лучше в первую очередь понимать, где именно происходит вставка и как её обойти через логику приложения.