Cuando el parámetro elige qué archivo se carga

Entregar un archivo y cargarlo como código son dos cosas distintas, y la segunda es más grave. Cuando un lenguaje de plantillas incluye un archivo, no lo copia: lo interpreta. Lo que haya dentro se ejecuta con los permisos del proceso del servidor.

Por eso la debilidad tiene entrada propia. MITRE la recoge como CWE-98, control indebido del nombre de archivo de una sentencia de inclusión en un programa en PHP, con la inclusión de archivos locales listada como término alternativo; es una variante, es decir, una debilidad atada a una tecnología concreta. Su pariente general es el mismo de la sala anterior: si el nombre lo pone quien pide la página, el directorio de plantillas no es una frontera.

Conviene distinguir dos variantes. La local carga un archivo que ya está en el disco del servidor: una plantilla retirada, un archivo subido por alguien, un registro. La remota carga una dirección de internet; en PHP depende de una directiva de configuración que viene apagada de fábrica y que la documentación oficial marca como obsoleta desde la versión 7.4. En la práctica, la local es la que se encuentra, porque no necesita que nadie cambie la configuración.

Abre el laboratorio y lee VistaController.php: verás de dónde sale el nombre de la plantilla. Después cruza vistas.txt, que lista lo que el proyecto declara hoy, con registro-vistas.txt, que dice qué archivo se cargó en cada petición.

Una de las líneas del registro no carga una plantilla del proyecto ni una retirada: carga un archivo de la carpeta donde el portal guarda lo que suben los autores. Esa combinación —una carpeta que acepta cualquier archivo y un código que incluye cualquier ruta— es la que convierte un fallo de ruta en ejecución de código ajeno.

Cuenta todas las peticiones del registro cuyo archivo cargado quedó fuera de la carpeta de plantillas del proyecto.

Lee php-ini.txt. El extracto trae cuatro directivas y el comentario de infraestructura explica para qué sirve cada una de las tres primeras. Una decide si una sentencia de inclusión puede tomar una dirección de internet en vez de un archivo del disco; otra, que está sin configurar, limitaría las carpetas que el proceso puede abrir.

Hay arreglos que hacen más difícil el fallo y arreglos que lo quitan. Limitar las carpetas que el proceso puede abrir reduce el daño, pero el parámetro sigue eligiendo qué se ejecuta.