phgstats 0.5.1之前版本中的phgstats.inc.php存在远程文件包含漏洞,在启用register_globals时,远程攻击者可以通过修改PHGDIR来包含任意文件,并执行任意PHP代码。