Un fallo de seguridad en los perfiles de usuario, permite subir ficheros para el avatar que no son realmente imágenes, directamente desde el formulario de la web.