Varias aplicaciones web que probé tienen el comportamiento de que los nombres de archivo de Windows como AUX, CON, NUL, PRN, COM1, LPT1 tienen un comportamiento diferente al de otras páginas. Por ejemplo, http://example.com/foo dará un 404, donde http://example.com/aux dará un error 500.
¿Qué causa este comportamiento? ¿Esto indica un problema de seguridad?
De forma predeterminada, en un servidor IIS, la ruta de una URL se valida utilizando las mismas reglas que determinan si una ruta del sistema de archivos de Windows es válida. Entonces, esta es la razón por la que http://example.com/aux puede dar un 500 (aux es un nombre de directorio no válido) pero http://example.com/foo a 404 (foo está bien). Este comportamiento se puede desactivar configurando
relaxedUrlToFileSystemMapping = true en web.config.
Aparte de una posible pequeña revelación de información de que está ejecutando un servidor IIS, no hay ningún problema de seguridad.
Lea otras preguntas en las etiquetas web-application windows file-system