Falhas do tipo CWE-50
1 resultadoEquivalência de caminhos: múltiplas barras iniciais
A aplicação não normaliza caminhos de arquivo/URL com múltiplas barras iniciais (como //arquivo ou ///diretório), tratando-os como equivalentes a caminhos simples (/arquivo). Um atacante explora essa inconsistência para contornar validações de acesso ou acessar recursos restritos usando notações alternativas do mesmo caminho.
Um WAF bloqueia acesso a /admin, mas a aplicação não normaliza //admin ou ///admin, permitindo que requisições para essas variações cheguem até a aplicação e contornem a proteção. Ou um sistema de permissões valida /etc/passwd mas aceita //etc/passwd como caminho válido.
Normalize todos os caminhos recebidos (remova múltiplas barras consecutivas e resolva . e ..) antes de qualquer validação ou comparação. Use funções de normalização de caminho fornecidas pela linguagem ou framework (como path.normalize() em Node.js, os.path.normpath() em Python) de forma centralizada na entrada.