• Al llamar al método getValue($array, $parents), el proceso es el siguiente:

$ref impide las referencias a $array.

Primer bucle: $ref referencia a $array['a'].

Segundo bucle: $ref referencia a $array['a']['b'].

Tercer bucle: $ref referencia a $array['a']['b']['c'].

Como resultado final, $ref quedará referenciado al valor 42.

• Después de recibir el valor $form de la función getValue. $form se convertirá en un argumento para la función Render

• La definición de call_user_func

• El resultado cuando uso el archivo de exploit:

Mitigación

• Parche ** Los desarrolladores de Drupal han publicado un parche que añade una clase RequestSanitizer con un método stripDangerousValues ​​para eliminar todos los elementos de entrada de la matriz cuyas claves comiencen con “#”. Este método limpia la entrada en $_GET, $_POST y $_COOKIES.

** Drupal 8.6.5 /core/lib/Drupal/Core/DrupalKernel.php /core/lib/Drupal/Core/Security/RequestSanitizer.php ** La función stripDangerousValues ​​verifica todos los parámetros de entrada uno a uno; los primeros elementos de la matriz de entrada tienen un valor que comienza con “#” y los valores ​​que no están en la lista blanca se eliminan.