Il traversamento di percorso relativo è un difetto nella gestione dei file in cui un input controllato dall'attaccante modifica un percorso in modo che un programma esca dalla directory prevista. Invece di rimanere all'interno di una cartella sicura per upload, cache o file temporanei, l'applicazione risolve segmenti come ../ e legge da o scrive in un'altra posizione del sistema.
Questo è importante perché i percorsi dei file controllano spesso azioni sensibili: salvare allegati, decomprimere archivi, caricare plugin o scrivere log e file di configurazione. Se un attaccante può indirizzare il percorso di destinazione, può sovrascrivere controlli di sicurezza, inserire file eseguibili o esporre dati protetti. Le difese includono la normalizzazione rigorosa dei percorsi, la canonicalizzazione, liste consentite per i nomi dei file, il rifiuto delle sequenze di traversamento e la verifica che il percorso finale risolto resti all'interno della directory approvata. In apparecchiature di sicurezza e in altri parser di contenuti non attendibili, i bug di traversamento possono trasformare un'elaborazione ordinaria in una via verso l'esecuzione di codice o il compromesso del sistema.