Me pregunto cómo solucionar el problema de LFI en este código. Por favor, sugiera una buena manera de parchar esta vulnerabilidad.
Me pregunto cómo solucionar el problema de LFI en este código. Por favor, sugiera una buena manera de parchar esta vulnerabilidad.
Los ataques de inclusión de archivos / recorrido de directorio local son solo un síntoma del problema de no validar la entrada del usuario. Considere lo que está haciendo: está tomando información de Internet y cegándola a una función que espera un tipo de entrada muy particular.
La respuesta corta es: VALIDE LA ENTRADA DEL USUARIO.
La respuesta más larga es, y en este caso, verifique que lo que se PUBLICÓ en la variable Producto sea un nombre de archivo legítimo en el directorio correspondiente.
Esta misma premisa es cómo funciona la inyección SQL.
Lea otras preguntas en las etiquetas php file-inclusion