PEAK XOOPS - FCKEditorpico に載せるwysiwygエディタを検討しているのですが、とりあえずcommon/spawは実装しました。 その次の候補として、高機能という評判のFCKEditor(2.3.2)を試してみました。 ダウンロードしてみて驚いたのは、フロントエンドの素晴らしさに比べて、あまりにもバックエンド（といってもPHPだけですが）の出来が甘いことです。 アップロード処理がデフォルトでついていて、そのためのコネクタが汎用的に各種用意されている、というあたりに不安を覚えつつ、phpコネクタのソースコードを追ってみたところ…… 簡単に見つかりました。容易に拡張子.phpがアップロード出来てしまいます（直接攻撃）。ほとんどのケースで、これは致命的な脆弱性でしょう。実際には、FCKEditorが置いてあるだけではダメで、phpのアップロードコネクタを有効にした場合のみの脆弱性ですし、config側で対応する
