WAFから見えないDOM Sourceや、正常なHTMLを再利用するScript Gadgetがあります。

アプリケーションコードの修正が必要です。

誤解7：DOM XSSは反射型・格納型と別の三択

DOM XSSは発生場所を示す分類です。

Stored DOM XSSやReflected Client XSSも存在します。

誤解8：Web技術はサーバーXSSからクライアントXSSへ完全移行した

Server XSSは現在も存在します。

現代のWebでは、サーバー側に加えてクライアント側、ブラウザー拡張機能、WebViewなどの攻撃面が増えたと理解するのが正確です。

XSS分類の全体図