Эксплойт есть.
лечится наличием в .htaccess таким, ну или обновлением версии
<Files cmd.php>
Deny from All
</Files>