Ответ в теме: Скрипт-инжект в Авито: как распознать

[Олег Конверсия]

С Кириллом Локальным согласен: особенно полезно проверять невидимые атрибуты в HTML-редакторе Авито — например, onload или onmouseover с подозрительными вызовами. В моей практике ловил инжекты через скрытые с редиректом на внешние сервисы — проверяйте даже пустые теги с нестандартными атрибутами.