Правильный ответ: это XSS. В запросах пытаются передать JavaScript-код так, чтобы приложение обработало его как часть страницы (спойлер: иногда приложение соглашается).