Похоже у меня есть решение. Речь идет о замене двух строк в Ditto (если последний необходим Вам для вывода списка статей и т.д.) и Wayfinder.
Для Ditto в файле ditto.class.inc.php строку:
$placeholders['title'] = $resource['pagetitle'];
меняем на:
$placeholders['title'] = htmlspecialchars($resource['pagetitle']);
Для Wayfinder строку в файле wayfinder.inc.php:
$phArray = array($useSub,$useClass,$classNames,$resource['link'],$resource['title'],$resource['linktext'],$useId,$resource['link_attributes'],$resource['id'],$resource['introtext'],$resource['description'],$numChildren);
меняем на:
$phArray = array($useSub,$useClass,$classNames,$resource['link'],htmlspecialchars($resource['title']),$resource['linktext'],$useId,$resource['link_attributes'],$resource['id'],$resource['introtext'],$resource['description'],$numChildren);
Решение тестировалось на MODx 0.9.6.3 и шанса проверить его на рабочем сервере пока не было. Но на Денвере работает.
