LFI
Vulnerabilidade em que a aplicação web deixa a entrada do usuário decidir qual arquivo carregar. O clássico é ?page=../../../../etc/passwd — mas ler arquivos não é a parte perigosa.
O perigoso é que um arquivo incluído é executado. Em PHP, include($_GET['page']) significa que qualquer arquivo que contenha código será rodado, e por isso a LFI muitas vezes pode ser escalada para execução remota de código. Os caminhos são conhecidos: envenenar um arquivo de log mandando código PHP no User-Agent e depois incluir o log, passar por /proc/self/environ ou abusar de arquivos de sessão e imagens enviadas por upload. O truque do byte nulo, que contornava extensões acrescentadas no fim, foi fechado no PHP 5.3.4. A defesa é nunca passar entrada do usuário a funções de arquivo — use uma lista de nomes permitidos e obtenha o caminho real a partir dela.