Это ASP.NET? Под «источником» вы подразумеваете источник HTML в браузере? У вас есть тег <base href>
на странице? И как строка попадает на страницу (вы только показываете, что она назначена переменной).
Трудно сказать, что вы видите, без какого-либо контекста. Убедитесь, что вы не просматриваете разрешенный URL, когда говорите, что ".." удалено. Что такое URL до и после?