Хм, а ведь это вариант использования уязвимости без параметра vbseoembedd. В новой версии правда всё равно не работает.

А нулл-байт и .php понятно зачем - vbseo.php думает, что это php файл и инклудит его, а там расширение обрезается и инклудится то, что до нулл-байта.

Но если аватары в бд, это ничего не даёт.
Пример (Isis, превед: