Una vulnerabilità di lettura arbitraria del file system consente a un attaccante di leggere file su un server a cui non dovrebbe poter accedere. I file esposti possono includere dati di configurazione, codice sorgente, log, credenziali, token o altri contenuti sensibili. In pratica, il bug spesso si presenta quando un'applicazione accetta un percorso file, un identificatore o un parametro di download e non riesce a limitare correttamente quali file possono essere aperti.
Questo è importante perché la divulgazione di file è spesso sufficiente per trasformare una piccola falla applicativa in una compromissione più ampia. Gli attaccanti possono usare password trapelate, chiavi API o impostazioni interne per penetrare più a fondo nell'ambiente, spostarsi lateralmente verso altri sistemi o preparare un attacco successivo. I difensori riducono il rischio imponendo un'autorizzazione rigorosa, normalizzando e convalidando i percorsi, usando allowlist e facendo eseguire i servizi con privilegi minimi, così che anche un tentativo di lettura riuscito non possa accedere a file di alto valore.