A execução remota de código é possível através da função `Blueprint::dynamicData()` no arquivo `system/src/Grav/Common/Data/Blueprint.php`. O problema ocorre porque uma string chamável `Class::method` e seus argumentos são passados diretamente para `call user func array()` sem uma lista de permissões. Um usuário autenticado com permissões `admin.pages` ou `api.pages.write` pode inserir uma diretiva chamável maliciosa em uma página através do plugin de formulário. Esse comando é então executado como o usuário do servidor web sempre que qualquer usuário, incluindo visitantes não autenticados, acessar a página afetada.