Obrigado pela rápida resposta, Jeff.
O usuário médio não estará adicionando os scripts externos, apenas fornecendo divs com atributos de dados que serão incluídos na lista de permissões para acionar os scripts JS externos e preencher o conteúdo quando essas divs forem encontradas.
As divs com atributos (HTML básico) já não são suportadas e aceitas nos editores para que o usuário médio publique? A menos que, por ser administrador, eu possa fazer HTML básico, mas eles não?
Outros grandes sites como o Wowhead e o Icy Veins vêm usando esses scripts para seus usuários; talvez eles estejam em risco?
Obrigado novamente pela sua ajuda.