Hallo,
dasselbe Problem habe ich gestern bei Google Analytics ebenfalls entdeckt und war erstmals ziemlich perplex darüber. Ein Blick in die Server-Logs hat dann ergeben, dass wohl ein Hacker am Werk war. Zumindest bei mir lag das Problem an einem Plugin, das nachweislich von der XSS-Schwachstelle betroffen ist. Bei genaueren Untersuchungen der Webspace habe ich zudem noch eine verschlüsselte PHP-Datei im Uploads-Ordner gefunden, die wohl als Backdoor genutzt wird. Ich schätze also, dass auch bei dir bzw. deinem Kunden eine Sicherheitslücke ausgenutzt wurde, um Schadcode auf den Server einzuschleusen.
Viele Grü[COLOR=#333333]ße[/COLOR]