为什么这个蒙面JS代码在GET参数中:'*alert(13)*'在我的页面上执行？

我们对我们的网站进行了WhiteHat扫描,他们返回的其中一个漏洞就是我们的网址whscheck'*alert(13)*'a/.当我们运行完整的URL(https://oursite.com/phorders3/index.php/whscheck'*alert(13)*'a/)时,网站会加载并发出一个值为13 pops的警报.谁能解释一下这是如何工作的？星号到底是a/做什么的？