XXE
Ataque de entidad externa XML. Explota un parser XML que procesa referencias a entidades externas → lee ficheros locales, provoca SSRF, o causa DoS con el ataque de las mil risas. Estuvo en el OWASP Top 10 entre 2017 y 2021.
Payload clásico: <!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]> <foo>&xxe;</foo> → el servidor devuelve el contenido de /etc/passwd. XXE fuera de banda: usar el parser para forzar una petición HTTP saliente → SSRF. El ataque de las mil risas: entidades anidadas que se expanden de forma exponencial → DoS por memoria. Defensa: desactivar el procesamiento de entidades externas en el parser XML (en libxml: libxml_disable_entity_loader(true)), y usar JSON en su lugar siempre que sea posible. PHP anterior a 8.0 permitía XXE por defecto; se corrigió en la 8.0. En 2021, el OWASP Top 10 separó XXE de «Inyección» y le dio categoría propia: «Fallos de integridad de software y datos».