Я думаю, что это не имеет ничего общего с ORO CRM.Домен, который вы запрашиваете, имеет установленный заголовок, поэтому вы не можете использовать этот URL внутри iframe.Это стандарт безопасности практически всех браузеров, который запрещает показывать контент в iframe, если этот заголовок установлен.Если этот URL-адрес находится на вашем собственном сервере, вы должны сопоставить его происхождение, в этом случае домены должны совпадать.Или вы можете попробовать удалить x-frame-options из заголовков.