パストラバーサル

URLに?file=../../etc/passwdと指定すると、アップロード画像の代わりにシステムファイルが読み出される。対策は、パスの検証と正規化、chrootやジェイルでの実行、許可リスト方式でのファイル指定だ。古典的なWebサーバー攻撃だが、現代のPHPやNodeのコードでも相変わらずよく見つかる。