PHP Misconfiguration: allow_url_fopen Enabled

Trabajar con archivos remotos puede permitir a un atacante que introduzca contenido malintencionado en el programa.

Cuando está activada, la opción allow_url_fopen permite funciones de PHP que aceptan un nombre de archivo para trabajar con archivos remotos mediante una URL HTTP o FTP. Esta opción, que se introdujo en PHP 4.0.4 y se encuentra activada de forma predeterminada, es peligrosa porque puede permitir a los atacantes introducir contenido malintencionado en una aplicación. En el mejor de los casos, trabajar con archivos remotos hace que la aplicación sea susceptible de ataques que alteran el archivo remoto para incluir contenido malintencionado. En el peor de los casos, si los atacantes pueden controlar una URL con la que trabaja la aplicación, pueden introducir contenido malintencionado arbitrario en la aplicación suministrando una URL a un servidor remoto.

Ejemplo 1: El siguiente código abre un archivo cuyo nombre está controlado por un parámetro de solicitud y lee su contenido. Dado que el valor de $file se controla mediante un parámetro de solicitud, un atacante podría burlar las suposiciones del programador suministrando una URL a un archivo remoto.

<?php
$file = fopen ($_GET["file"], "r");
if (!$file) {
    // handle errors
}
while (!feof ($file)) {
    $line = fgets ($file, 1024);
    // operate on file content
}
fclose($file);
?>