Недостаточная проверка ввода пользователя на наличие shell-символов дает возможность администраторам списков выполнять команды на сервере.
vulners.com/securityvulns/securityvulns:doc:654