Zend Framework 1.9.9 Manual

Vor dem 1.7.5 Release wurde das Zend Framework Team darauf aufmerksam gemacht das eine potentielle Local File Inclusion (LFI) Schwäche in der Zend_View::render() Methode existiert. Vor 1.7.5, erlaubte die Methode standardmäßig, die Fähigkeit View Skripte zu spezifizieren die Schreibweisen für Eltern-Verzeichnisse enthalten (z.B. "../" oder "..\"). Das öffnet die Möglichkeit für eine LFI Attacke wenn ungefilterte Benutzereingaben an die render() Methode übergeben werden:

// Wobei $_GET['foobar'] = '../../../../etc/passwd'
echo $view->render($_GET['foobar']); // LFI Einbruch

Zend_View wirft jetzt standardmäßig eine Ausnahme wenn so ein View Skript angefragt wird.

// Ausschalten über den Konstruktor
$view = new Zend_View(array('lfiProtectionOn' => false));

// Ausschalten über expliziten Aufruf der Methode:
$view = new Zend_View();
$view->setLfiProtection(false);