WAF фильтрует скобки? Вот как это обойти 👆
onerror=alert назначает alert глобальным обработчиком ошибок, а затем throw 1 выбрасывает ошибку. Эта ошибка перехватывается обработчиком onerror… которым и является alert!Таким образом,
alert(1) срабатывает без использования скобок 😎