Webroot è la directory su un server web esposta a Internet pubblica e da cui vengono serviti contenuti del sito come HTML, immagini, script e file caricati. Qualsiasi elemento inserito nel webroot può di solito essere richiesto direttamente da un browser, quindi il suo contenuto fa parte della superficie d'attacco del sito.
Nella sicurezza informatica, il webroot è importante perché un errore nella gestione dei file può trasformare un normale caricamento in esecuzione di codice o in una web shell. Se un'applicazione memorizza i file forniti dagli utenti all'interno del webroot e il server consente l'esecuzione di script in quell'area, un attaccante può essere in grado di caricare un payload malevolo ed eseguirlo come codice. I difensori riducono questo rischio mantenendo, quando possibile, i file caricati fuori dal webroot, bloccando l'esecuzione nelle cartelle di upload e applicando rigorosi allowlist lato server e controlli dei permessi.