PHP Misconfiguration: allow_url_fopen Enabled

A operação em arquivos remotos pode permitir que um invasor injete conteúdo mal-intencionado no programa.

Quando habilitada, a opção allow_url_fopen permite que funções PHP que aceitam um nome de arquivo operem em arquivos remotos usando uma URL HTTP ou FTP. A opção, que foi introduzida no PHP 4.0.4 e está habilitada por padrão, é perigosa porque pode permitir que os invasores introduzam conteúdo mal-intencionado em um aplicativo. Na melhor das hipóteses, operar em arquivos remotos deixa o aplicativo suscetível a invasores que alteram o arquivo remoto para incluir conteúdo mal-intencionado. Na pior das hipóteses, se os invasores puderem controlar uma URL na qual o aplicativo opera, eles poderão injetar conteúdo mal-intencionado arbitrário no aplicativo fornecendo uma URL para um servidor remoto.

Exemplo 1: O código a seguir abre um arquivo cujo nome é controlado por um parâmetro de solicitação e lê seu conteúdo. Como o valor de $file é controlado por um parâmetro de solicitação, um invasor pode violar as premissas do programador fornecendo uma URL para um arquivo remoto.

<?php
$file = fopen ($_GET["file"], "r");
if (!$file) {
    // handle errors
}
while (!feof ($file)) {
    $line = fgets ($file, 1024);
    // operate on file content
}
fclose($file);
?>