Il contenimento del percorso è un controllo del file system che mantiene le scritture delle applicazioni all'interno di una directory approvata. Quando un server gestisce upload, esportazioni, file di cache o contenuti temporanei, deve verificare che ogni percorso di destinazione rimanga nella cartella prevista e non possa uscire tramite trucchi come path traversal, symlink o concatenazioni di percorsi non sicure.
Questo è importante perché molti attacchi iniziano con una primitiva di scrittura. Se un attaccante riesce a fare in modo che un plugin salvi un file fuori dall'area di upload prevista, potrebbe collocare script in una posizione accessibile dal web o sovrascrivere file sensibili. Un forte contenimento del percorso riduce questo rischio rifiutando i percorsi che si risolvono altrove e imponendo directory canoniche presenti in una allowlist. Nelle difese, viene affiancato a controlli rigorosi sul tipo di file, autorizzazioni con il principio del minimo privilegio e archiviazione separata per gli upload non attendibili. Nella risposta agli incidenti, un contenimento del percorso debole è un indizio per ispezionare file inattesi, scritture insolite nelle directory e qualsiasi contenuto diventato eseguibile.