LFI
Bir web uygulamasının hangi dosyanın yükleneceğine kullanıcı girdisinin karar vermesine izin verdiği zafiyet. Klasik örnek ?page=../../../../etc/passwd'dir; ama tehlikeli olan dosya okumak değildir.
Tehlikeli olan, eklenen dosyanın çalıştırılmasıdır. PHP'de include($_GET['page']), kod içeren her dosyanın çalıştırılması demektir; bu yüzden LFI çoğu zaman uzaktan kod çalıştırmaya (RCE) yükseltilebilir. Yollar iyi bilinir: User-Agent'ta PHP kodu göndererek bir log dosyasını zehirleyip ardından o logu eklemek, /proc/self/environ üzerinden gitmek, ya da oturum dosyalarını ve yüklenen görselleri kötüye kullanmak. Eklenen uzantıyı atlatan null bayt hilesi PHP 5.3.4'te kapatıldı. Savunma, kullanıcı girdisini asla dosya fonksiyonlarına geçirmemek; izin verilen adların bir beyaz listesini kullanıp gerçek yolu ondan türetmektir.