RCE no autenticado vía dispatch dinámico de funciones (`call_user_func_array` sin lista blanca)

Un front controller PHP (server.php/index.php) de una intranet despachaba TODAS las peticiones POST a través de un patrón de "invocar la función que diga el cliente":