Como já somos rigorosos quanto aos domínios que podem ser usados em iframes, ter mais uma configuração onde definimos a string allow para cada iframe e analisamos o formato estranho do conteúdo allow parece um pouco demais para mim.
Fiz um PR que simplesmente permite o uso de qualquer coisa no atributo allow para iframes já permitidos:
O que você acha @sam?