@kusano_k

任意コード実行ができれば、ソースコードも見られるので、任意コード実行のほうがヤバいでしょ。hoge.php.jpgとhoge.php.bakのどちらをやらかす可能性が高いかは知らないけど。
apache 多重拡張子
ya.maya.st/d/201502c.html…