Weaknesses of type CWE-44
1 resultEquivalência de Caminho: Ponto Interno no Nome
A aplicação falha em reconhecer que um caminho como 'arquivo.txt' é equivalente a 'arquivo.nome.txt' ou similar, permitindo contorno de validações de extensão ou acesso. Um atacante usa nomes com pontos adicionais para burlar filtros que verificam apenas a extensão final, acessando arquivos que deveriam estar bloqueados.
Um sistema rejeita uploads de arquivos .exe, mas aceita 'malware.exe.txt' porque valida apenas pelo último ponto. O servidor depois processa ou executa o arquivo ignorando a extensão final falsa, ou um parser diferente interpreta apenas a primeira extensão (.exe).
Valide o caminho completo normalizando-o antes (remova pontos redundantes, resolve '..'), implemente whitelist rigorosa de extensões permitidas verificando todas as partes do nome, e nunca confie na extensão como único controle de segurança. Use análise de tipo de arquivo (magic bytes) como camada adicional.