Os destinatários NÃO PODEM ser capazes de escrever em qualquer outro local
aquele para o qual eles são especificamente intitulados . Para ilustrar o
problema, considere as conseqüências de poder sobrescrever
locais de sistema conhecidos (como "/ etc / passwd"). Uma estratégia
para conseguir isso é nunca confiar em informações do nome da pasta no
parâmetro filename, por exemplo, retirando todos os últimos
segmento de caminho e considerando apenas o nome do arquivo real (onde 'path
segmentos 'são os componentes do valor do campo delimitados pelo
caracteres separadores de caminho "\" e "/").
Qualquer navegador que inclua a parte da pasta no nome do arquivo enviado corre o risco de ser
corte pelos serviços de segurança no site do servidor.
Tanto quanto eu sei, nenhum navegador faz isso.
Respostas:
O navegador não deve enviar a parte da pasta para o site, como isso pode ser tomado como uma forma de ataque.
De RFC 6266 - Uso do campo Cabeçalho de disposição de conteúdo no Protocolo de transferência de hipertexto (HTTP) :
Qualquer navegador que inclua a parte da pasta no nome do arquivo enviado corre o risco de ser corte pelos serviços de segurança no site do servidor. Tanto quanto eu sei, nenhum navegador faz isso.
fonte