Sebbene correggere sempre i dati all'origine sia la soluzione migliore, l'ho trovato utile anche nel caso in cui non riesco a controllare i dati all'origine:
select xmlelement("test", test)
from (select regexp_replace(unistr('a\0013b'), '[[:cntrl:]]', '') test from dual);
Un pezzo importante è il regexp_replace(your_field, '[[:cntrl::]]', '') per rimuovere i caratteri di controllo dai dati.
