ディレクトリトラバーサル.

ディレクトリトラバーサル(パストラバーサル)は、ユーザー入力からファイルパスを組み立てる際に適切な正規化を行っていないアプリケーションを狙います。攻撃者は ../、..\、URL エンコードされた変種(%2e%2e%2f)、絶対パスなどを差し込むことで、想定外のディレクトリに置かれた構成シークレット、ソースコード、/etc/passwd などのシステムファイルへアクセスさせます。書き込みが可能な経路では、同じ欠陥がファイル上書きやリモートコード実行につながります。対策は、ファイル名を厳密な許可リストで検証する、パスを解決して想定するルート配下に収まることを確認する、フレームワークが提供する安全な API を使う、機微なシステムファイルを読めない権限でサービスを実行するなどです。