XXE
XML-External-Entity-Angriff. Nutzt einen XML-Parser aus, der External-Entity-Referenzen verarbeitet → lokale Dateien lesen, SSRF, DoS via Billion Laughs. OWASP Top 10 2017–2021.
Klassischer Payload: <!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]> <foo>&xxe;</foo> → der Server liefert den Inhalt von /etc/passwd zurück. Out-of-Band-XXE: den Parser zu einem ausgehenden HTTP-Request bewegen → SSRF. Billion Laughs: verschachtelte Entities expandieren exponentiell → Memory-DoS. Gegenmaßnahme: External-Entity-Processing im XML-Parser deaktivieren (libxml: libxml_disable_entity_loader(true)), wo möglich JSON statt XML verwenden. PHP < 8.0 erlaubte XXE standardmäßig, seit 8.0 ist der Default sicher. Aktuell: OWASP Top 10 2021 hat XXE aus "Injection" herausgelöst und einer eigenen Kategorie zugeordnet, "Software and Data Integrity Failures".