Siempre que su aplicación maneje URLs proporcionadas por el usuario, introduzca el siguiente código javascript: alert(0) o data:text/html,. Todo esto puede ayudar a identificar los errores de XSS almacenados.