Как обезопасить сайт при использовании WYSIWYG редактора?
как по вашему выглядит вредоносный код и чем WYSIWYG отличается от простого textarea по своим свойствам?
Если вы не хотите запретить вставку iframe или js то проверяйте через регулярку входные данные.
Обычно на сайте самих редакторов есть раздел Безопасности и там обычно уже есть готовые решения, допустим
imperavi.com/redactor/docs/security