Уязвимость позволяет выйти за пределы директории вебсайта и без проблем считать, ну например,
/etc/passwd
К уязвимости привел обычный рефакторинг - разработчики в версии 2.4.49 решили унифицировать простыню с нормализацией пути, и вынесли обработку в отдельную функцию ap_normalize_path. В реализации с проверкой обработки символа '.' в пути и закрался баг в 571 строке - программист не учел, что в контексте еще не произошел url decode.
В итоге возникла ситуация, когда все проверки на обход каталога через
%2e%2e попали в условие, которое не обрабатывалось, и доверенная функция по нормализации пути ap_normalize_path, которая и должна срезать ситуации вроде ../, стала возвращать ненормализованный путь.