Les erreurs de manipulation de path se produisent quand les deux conditions suivantes sont remplies :

1. Un attaquant peut spécifier un path utilisé dans une opération sur le filesystem.
2. En spécifiant la ressource, l'attaquant gagne une capacité qui ne serait pas permise autrement. Par exemple, le programme peut donner à l'attaquant la capacité de remplacer le fichier indiqué ou être lancé avec une configuration contrôlée par l'attaquant.
   Le fait de permettre à l'utilisateur entrant de contrôler les paths utilisés dans les opérations de filesystem peut permettre à un attaquant d'accéder ou de modifier des ressources système protégées.

Le code suivant utilisé en entrée dans une requête HTTP demande de créer un nom de fichier. Le programmeur n'a pas considéré la possibilité qu'un attaquant pourrait fournir un nom de fichier comme '../../tomcat/conf/server.xml', qui fait que l'application efface un de ses propres fichiers de configuration.

String rName = request.getParameter("reportName");
       File rFile = new File("/usr/local/apfr/reports/" + rName);
       ...
       rFile.delete();

Le code suivant utilise un fichier de configuration en entrée pour déterminer quel fichier ouvrir avec des privilèges et des utilisateurs malicieux peuvent changer le fichier de configuration, ils peuvent utiliser le programme pour lire n'importe quel fichier sur le système qui finit avec l'extension .txt.

fis = new FileInputStream(cfg.getProperty("sub")+".txt");
       amt = fis.read(arr);
       out.println(arr);