Недавно в статье на хабре рассказал про такую особенность электронных адресов, как комментарии. Это довольно старая и известная вещь, но всё ещё очень эффективная.

Комментарии () или "" стоит использовать не только для XSS, но и для SQLi или RCE. В зависимости от контекста можно применять разные пейлоады, либо все сразу.

1. Отправляете форму кому-то куда-то? Добавьте Blind-XSS в комментарии.
2. Регистрируете аккаунт? Попробуйте разные адреса, как с RCE пейлоадом, так и с SQL.
3. Вызывайте различные функции приложения, которые предположительно обрабатывают введенный вами адрес, что тоже может спровоцировать триггер пейлоада (например, отправить письмо для восстановления пароля).

Напомню структуру валидных адресов с комментариями:
- "payload"@domain.com
- name@"payload"domain.com
- name(payload)@domain.com
- name@(payload)domain.com
- name@domain.com(payload)

(с кавычками работает реже, но может сработать в тех случаях, когда скобки не работают)