ローカルファイルインクルージョン(LFI).

ローカルファイルインクルージョン(LFI)は、Web アプリがユーザー指定のファイルパスを検証せずにインクルードするときに発生し、PHP・JSP・クラシック ASP などのスクリプト言語でよく見られます。攻撃者はソースコード・構成ファイル・ログを読み取れるほか、攻撃者制御のコンテンツを含むファイル(ログポイズニング、/proc エントリ、セッションファイル、コードが埋め込まれたアップロード画像など)をインクルードさせることでリモートコード実行へ昇格できます。LFI はディレクトリトラバーサルと重なる部分がありますが、ランタイムの include/require 関数を狙う点が特徴です。対策は、テンプレート名のホワイトリスト化、動的インクルードではなく安全なルーティング、正規化後のパス検証、リモート URL のインクルード無効化などです。