Не фильтруются метасимволы при вызове внешней программы.
vulners.com/securityvulns/securityvulns:doc:2192