Значит не дырявый сервер, в описании баги пишет "User may upload valid image file with insecure extension through avatar upload if "Allow custom avatar upload" is set to "Yes".This setting is not on in default installation."
A может быть мы что-то не так поняли