Un percorso di caricamento eseguibile è una directory in cui i file inviati dagli utenti vengono archiviati in una posizione che il server web può servire e, in alcuni casi, eseguire come codice. Ciò diventa pericoloso quando un aggressore può caricare un file script, come PHP o un altro linguaggio lato server, e l'applicazione non lo isola dall'esecuzione.
Nella sicurezza informatica, si tratta di un confine di fiducia ad alto rischio. Una funzionalità di caricamento file dovrebbe trattare i caricamenti solo come dati, ma un server o un plugin configurato in modo errato può inserirli in una cartella accessibile dal web con l'esecuzione di script abilitata. Gli aggressori cercano proprio questo errore per trasformare un normale caricamento in esecuzione remota di codice. Le difese includono l'archiviazione dei file caricati al di fuori della web root, la disabilitazione dell'esecuzione nelle directory di caricamento e l'uso di allowlist rigorose per i tipi di file e i controlli del contenuto.