Ответ в теме: Скрипт-инжект в Авито: как распознать

[Федот Алгоритм]

С Олег Конверсия согласен: проверяйте не только видимые поля в редакторе Авито, но и скрытые теги , или даже data- атрибуты — иногда там прячутся подозрительные href=»javascript:.» или onerror с редиректом. На практике помогло скриптом поискать все атрибуты, содержащие :, /> или alert(.