Недавно была статья про уязвимости LFI, RCE и RFI. Там как раз говорится о том, что проэксплуатировать найденные уязвимости получается далеко не всегда, но можно. В статье указываются возможные варианты.