$request_filename è una variabile di NGINX che restituisce il percorso del filesystem per la richiesta corrente. Deriva dall'URI della richiesta e da eventuali regole di mappatura dei percorsi, come root, alias e direttive correlate alle riscritture. In pratica, indica a NGINX a quale file o risorsa una richiesta dovrebbe essere mappata dopo l'elaborazione dell'URI.
Questo è importante per la sicurezza perché la risoluzione del percorso al momento della richiesta può diventare un punto critico quando le configurazioni sono complesse. Gli attaccanti possono costruire richieste che sollecitano la riscrittura dell'URI o le mappature di alias, causando una risoluzione del percorso imprevista, crash o una gestione non sicura della memoria in build vulnerabili. I difensori dovrebbero esaminare dove $request_filename viene usato nei log, nel controllo degli accessi, nei redirect e nella logica condizionale, e testare qualsiasi configurazione che lo combini con URI riscritti o mappature di file non standard. Un'attenta revisione della configurazione aiuta a ridurre sia il rischio di denial of service sia la possibilità che una richiesta raggiunga un percorso interno difettoso.