文件名或路径的外部控制（CWE ID 73）

Question

我们正尝试使用Asp.Net MVC在“〜/ App_Data / TempFiles”上上传文件，该文件会从Veracode返回CWE ID 73。我们尝试使用Web配置解决此问题。为此位置创建appSettings密钥，并使用配置管理器从路径调用。 Veracode甚至也失败了，请在这个问题上帮助我们。 我尝试了以下代码

Web.Config

<appSettings>
  <add key="TempFiles" value="~/App_Data/TempFiles" />
</appSettings>

C＃代码：

string targetPath = ConfigurationManager.AppSettings["TempFiles"] + AddedFolderName;
string ParentPath = ConfigurationManager.AppSettings["TempFiles"];
if (!System.IO.Directory.Exists(targetPath))
{
       System.IO.Directory.CreateDirectory (HttpContext.Current.Server.MapPath(ConfigurationManager.AppSettings["TempFiles"] + "\\" + AddedFolderName)); //Issue 
}
if (File.Exists(Path.Combine(HttpContext.Current.Server.MapPath(targetPath), fileName)))//Issue
{
       System.IO.DirectoryInfo di = new DirectoryInfo(HttpContext.Current.Server.MapPath(ParentPath));//Issue

}

标记这3行无法解决，请帮助我们解决问题。