А вот в этом скрипте инклюд конечно более важен, у меня есть исходники этого скрипта, не нашёл в нём никаких проверок на фильтрацию.. (.. /)
Может какой мод стоить или какая настройка апатча\пхп? Просто есть два хоста с этой тулзой, на обоих одинаковый результат при подставлении ../../ Пробывал url endec, результат такой же.