Взято тут.

В основе лежит отображение как-есть не подходящих символов в качестве аргументов функции.

За счет экранирования можно добиться вывода чего угодно.

Пэйлоад:

Цели: https://github.com/search?q=date%28%...=searchresults

У автора в блоге кавычки сломанные.

Пример:

http://makescreen.ru/i/2140734a9fc74...55c274546d.jpg

На заметку, сюда относятся еще и gmdate, и strftime и прочие, которые ретурнят строку.

забавный баг =)

это не баг

какой смысл делать так "date($_GET" при программировании?

любые GET/POST запросы должны проходить фильтрацию