未经许可，不得转载。

正文

在应用程序中，通过一个 JavaScript 注释发现了一个备份 ZIP 文件。解压后，获取了应用程序的代码，其中包含如下代码片段：

代码首先检查变量 $action 是否等于 'convert'，如果是，则继续执行。随后对传入的变量 $data 使用 trim() 函数去除两端空白字符，并使用 eval() 函数执行 $data 的内容。

显然，代码对 $data 没有进行任何过滤或验证，因此可以被利用实现RCE漏洞。