Steal My Bitcoin sitesi üzerinden düzenlenen testte, 'KillaBoi' takma adlı bir saldırgan PHP'nin multipart yükleme ve oturum verisi işleme mantığındaki hataları birleştirerek uzaktan kod çalıştırma (RCE) başardı.
Saldırgan, bir PHP çalışan sürecini bellek sınırının ötesine iterek dahili durumu bozdu ve ardından oturum çerezleri aracılığıyla bellek içeriğini sızdırarak PHP'nin bellek yapıları ve çalıştırılabilir kod adreslerini tespit etti.
Bu adreslerle sahte bir PHP veri yapısı inşa edip temizleme aşamasında komut çalıştırmayı tetikledi ve kanıt olarak süreç içinden komut çıktısını aldı.