Se sube el avatar en formato jpg y se ejecuta en el servidor, es necesario revisar los logs y tener a mano una copia de seguridad actualizada para poder restaurar.
Más información
https://www.daboweb.com/2009/05/10/inyeccion-de-codigo-en-foros-smf-mediante-avatares/