При вставке дополнительного xml с помощью $param["external_xml"] кодирование html-сущностей не требуется.
Рабочий вариант вставки xml списка в корзину:
$lists = & singleton('lists');
$lists_id = '{идентификатор списка}';
$param["external_xml"] = $lists->GenXml4ListItems($lists_id);
$shop->ShowCart($shop_id, $site_users_id, to_str($GLOBALS['LA']['xsl_cart']), $param, $external_propertys);