Weaknesses of type CWE-21
3 resultsTravessia de Diretórios (Path Traversal)
Fraqueza que ocorre quando a aplicação não valida adequadamente caminhos de arquivo fornecidos pelo usuário, permitindo acesso a arquivos fora do diretório pretendido. Um atacante usa sequências como "../" para navegar pelo sistema de arquivos e acessar arquivos sensíveis (configurações, senhas, dados privados) que não deveria conseguir.
Um site de download recebe o parâmetro 'arquivo=relatorio.pdf', mas valida só o nome do arquivo. Um atacante envia 'arquivo=../../etc/passwd' e consegue ler o arquivo de usuários do servidor, porque o código monta o caminho sem verificar se contém travessias de diretório.
Valide e normalize caminhos de arquivo antes de usar: use funções de canonicalização (realpath, Path.resolve), implemente whitelist de nomes permitidos, e confine o acesso a um diretório raiz específico usando jails ou chroot. Nunca concatene entrada do usuário diretamente em caminhos.