Но они же сделали фильтр HTML-я? Сделали. Ты же не будешь говорить, что это проще? Выяснить тонкости всяких экранирований — это максимум день целенаправленного гуглования и пара дней экспериментов. Т.е. конкретно задача недопущения JS в CSS решаема вполне традиционными методами.

А так получается интересная вещь: если внешний CSS не запретят (и он не будет фильтроваться), то JS фактически будет разрешён.