Как тут можно разместить зловредный скрипт?
snippet
Скрипт срабатывает при наведении - <a onmouseover=alert(document.cookie)>click me!</a>
HTML теги вставляются и работают исправно, а вот javascript код не работает. Я так понимаю это потому, что данные этого компонента выводятся не при загрузке страницы, а после.
Ну так код может содержать логику запускаемую по наступлению события, например банальный click по body