Upload-ul de fișiere rămâne unul dintre cele mai exploatate fluxuri. Cum validezi tipul și de ce nu execuți nimic din uploads.
Actualizat 27.10.2026
PHP
Multe RCE-uri încep la fel: un formular care acceptă .php sau dublă extensie, iar directorul este interpretat ca PHP.
Reguli minime
- Allowlist MIME + extensie
- Regenerează numele fișierului
- Blochează execuția PHP în uploads
# /uploads/.htaccess
<FilesMatch "\.(?i:php|phtml|phar)$">
Require all denied
</FilesMatch>Ți-a fost util acest articol?