Este tipo de ataque es ya muy conocido y básicamente consiste en leer ficheros del sistema aprovechando fallos de programación que realizan llamadas a otros ficheros mediante los comandos require, require_once, include e include_once. Lógicamente, llamadas en las que entre en juego alguna variable no inicializada.

Esta vulnerabilidad se produce cuando una página no sanitiza correctamente una variable que posteriormente será usada para incluir un archivo, permitiendo inyectar caracteres para realizar un traversal directory