Спасибо за быстрый ответ, Джефф.
Обычный пользователь не будет добавлять внешние скрипты; он только предоставит div-элементы с атрибутами данных, которые будут внесены в белый список для запуска внешних JS-скриптов, заполняющих контент при обнаружении этих div-элементов.
Разве div-элементы с атрибутами (базовый HTML) уже не поддерживаются и не принимаются редакторами для публикации обычными пользователями? Или это возможно только потому, что я администратор, а обычные пользователи не могут этого делать?
Другие крупные сайты, такие как Wowhead и Icy Veins, используют эти скрипты для своих пользователей. Возможно, они тоже находятся в зоне риска?
Еще раз спасибо за вашу помощь.