Jeff、迅速な返信をありがとうございます。
一般的なユーザーは外部スクリプトを追加するのではなく、データ属性を持つ div を提供し、それがホワイトリストに登録されて JS 外部スクリプトをトリガーし、該当する div が見つかった際にコンテンツを埋め込む仕組みになっています。
属性付きの div（基本的な HTML）は、一般的なユーザーが投稿する際にエディターで既にサポートされ、受け入れられているはずです。私が管理者だから基本的な HTML も使えるが、他のユーザーにはそれができないのでしょうか？
他の大規模サイトである Wowhead や Icy Veins は、これらのスクリプトをユーザー向けに使用していますが、彼らもリスクにさらされているのでしょうか？
引き続きご支援いただき、ありがとうございます。