[pelmered]

Om du kan hitta iframen i HTML-koden borde du väl kunna se vart den kommer ifrån?

Är det en fil som är på din server eller är det innehåll som genereras dynamiskt och hämtas ifrån databasen eller kaske till och med POST eller GET variabler.
När du lokaliserat vart det kommer ifrån borde du kunna ta bort det och täppa till säkerhetshålet