我们通过一家外部公司进行的安全报告报告了我们在 PHP 应用程序中使用的 FCKeditor 中的 XSS 漏洞。

他们指出，访问 URL，例如：

http://www.ourdomain.com/fckeditor/editor/filemanager/browser/mcpuk/connectors
    /php/connector.php?Command=837<script>alert(0)</script>&Type=837
    <script>alert(1)</script>&CurrentFolder=837<script>alert(2)</script>
    &ExtraParams=837<br><br><br><iframe src=http://www.google.com/ 
    height=100% width=100%></iframe>

导致生成如下代码（从浏览器 -> 查看源代码）：

Invalid command.Array<br />
(<br />
[Command] => 837<script>alert(0)</script><br />
[Type] => 837<script>alert(1)</script><br />
[CurrentFolder] => 837<script>alert(2)</script><br />
[ExtraParams] => 837<br>
<br>
<br>
<iframe src=http://www.google.com/ height=100% width=100%></iframe><br />
)<br />

我不知道 FCKeditor 的这个内部 php 脚本是做什么的，它是否会成为我系统中 XSS 内容的来源？这是一个真正的问题吗？