Как обычно рекомендуют гуру бугхунтерства:

"Нашёл XSS, но мешает WAF - сдай как HTML инъекцию! Потом по ходу докрутишь!"