script は下記でコントロールしているようですね。

data\class\SC_View.php:
$this->_smarty->default_modifiers = array('script_escape');

変換ロジックは
data\smarty_extends\modifier.script_escape.php

というわけで、
data\class_extends\SC_View_Ex.php で・・・・って、無いやん。
良く分からん。

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。

object 要素は下記で設定可能なようです。
管理機能 > 基本情報管理 > マスタデータ管理 > mtb_allowed_tag

script は駄目ですね。設定は受理されるのに、利用で拒否されるのはちょっと嫌だな。

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。

セキュリティについていろいろな情報をまとめてみるのもいいのかなぁと思ったのですが、

今疑問なのは、タグの許可についてですが、デフォルトでは許可されていないタグでこれを許可すると危険なものってあるのでしょうか？

現在使いたいのは、
javascript
iframe
input
form

あと先日掲示板にもでていましたが、FLASHのobjectタグなどは許可するとまずい面などあるのでしょうか？