Вы можете попытаться окружить код, вызывающий проблемы, блоком комментариев CDATA, хотя у меня есть ощущение, что он работает только в XML или Javascript.
В качестве альтернативы, вы можете кодировать URL-адрес нарушителя или, возможно, попробовать использовать&
вместо &
.
Правка: Кадьяк правильный;<embed>
и <iframe>
требуют закрывающих тегов, а не просто "быстрого закрытия" />
.