Il caricamento di file non autorizzato è una debolezza in cui un'applicazione consente a un attaccante di inserire un file su un server senza adeguati controlli di autorizzazione o convalida del contenuto. Il file caricato può essere un documento innocuo, ma può anche essere una web shell, uno script o un payload dannoso se il server in seguito lo tratta come codice eseguibile. Questo trasforma un semplice modulo di caricamento in un possibile punto di ingresso per l'esecuzione remota di codice, la deturpazione del sito, l'hosting di malware o la persistenza.
Nelle attacchi reali, il pericolo spesso deriva dal fidarsi dei metadati lato client come nomi dei file, estensioni o tipi MIME. Le difese efficaci includono l'autenticazione delle operazioni di caricamento, la convalida del contenuto del file sul server, l'archiviazione dei file caricati al di fuori della web root, la disabilitazione dell'esecuzione nelle directory di caricamento e l'uso di liste consentite per i tipi permessi. Registrare l'attività di caricamento e analizzare la presenza di script inattesi aiuta i difensori a individuare gli abusi prima che un file inserito venga utilizzato.