CWE-98 è una categoria di vulnerabilità per il controllo non sicuro dei nomi dei file usati dalla logica PHP include o require. Descrive i casi in cui i dati dell'applicazione possono influenzare quale file viene caricato, invece di lasciare che il programma scelga da un insieme fisso e attendibile.
Questo è importante perché i bug di inclusione dei file possono diventare più di un semplice problema di lettura. Se un attaccante può indirizzare la gestione del percorso, può attivare l'inclusione di file locali, uscire da una directory prevista tramite traversal del percorso, oppure forzare l'esecuzione di un file PHP malevolo o non previsto. Nelle piattaforme CMS e nei sistemi di templating, questo può trasformare il normale routing o la selezione della pagina in un percorso di esecuzione del codice quando le condizioni del server si allineano.
Le difese si concentrano sull'eliminazione dell'ambiguità del percorso: usa allowlist di nomi di template noti, associa gli input a nomi di file fissi, canonicalizza i percorsi prima dell'uso e verifica che i file risolti restino all'interno di una directory approvata. Evita di costruire i percorsi di include dai dati grezzi della richiesta e applica permessi con il principio del privilegio minimo, così anche una scelta errata del file non può esporre codice sensibile.