URL 인코딩된 `%2e%2e%2f`가 필터를 통과한다. 원인은?

1. 1

   애플리케이션이 URL 디코딩·경로 정규화 전에 리터럴 `../` 문자열만 검사했기 때문이다.

2. 2

   확장자 허용 목록이 있으므로 디렉터리 구분자와 상위 경로 표기는 검사하지 않아도 되기 때문이다.

3. 3

   웹 서버와 애플리케이션이 각각 디코딩해도 최종 경로는 원본 문자열과 항상 같기 때문이다.

4. 4

   TLS가 URL 경로를 암호화하면 서버의 디코딩 단계도 생략되기 때문이다.