Názor k článku Postřehy z bezpečnosti: Další kampaň zaměřená na NAS od Jan Marenčík - Děkuji za vysvětlení, než jsem četl komentáře, říkal...

Děkuji za vysvětlení, než jsem četl komentáře, říkal jsem si že jediná možnost jak spustit uživatelem nahraný kód je použít nad ním eval. V článku ani linku to nebylo uvedeno. Dle vašeho linku vidím, že tam je skutečně eval, byť schovaný v preg_replace a jeho argument je schovaný v EXIF hlavičce.
No už jsem 15 let v PHP nic nepsal, ale vím že občas tam zakazují kde co, protože je to security issue, takže bych očekával zakázaný i ten eval.