>このシステムはPHPファイルのアップロード等も出来るからってことか
PHPは言うに及ばず、JavaScriptでも同じ。
もしファイルをアップロードできなくても、
管理者権限があればコンテンツにJavaScriptを埋め込むことができるからね。