【豆情報】
ttp://ilia.ws/archives/58-Path-Disclosure-and-PHP.html

$_GETをhtmlspecialcharsしている人はご注意を。

Fixされるまでしばらくの間
display_errors = Off
は必須かな？