Inyección XXE
XML External Entity injection — una vulnerabilidad en la que se engaña a un parser XML para que procese entidades externas que el atacante ha colado, lo que puede permitir leer ficheros locales, realizar SSRF o provocar una denegación de servicio. Surge cuando un parser permite por defecto funciones XML peligrosas.
Mecánica: XML admite "entidades" que pueden referenciar contenido externo. Un atacante capaz de enviar XML a un parser vulnerable define una entidad externa que apunta, por ejemplo, a file:///etc/passwd o a una URL interna → cuando el parser expande la entidad, lee el fichero o hace la petición y devuelve el contenido en la respuesta. Consecuencias: lectura de ficheros sensibles (contraseñas, configuración, claves), SSRF (hacer que el servidor llame a servicios internos o a metadatos de la nube) y denegación de servicio "billion laughs" (entidades recursivas que hinchan la memoria). Causa raíz: muchas bibliotecas XML traían el procesamiento de entidades externas activado por defecto. Defensa: desactivar el procesamiento de DTD/entidades externas en el parser (el remedio simple y definitivo), usar un formato más sencillo (JSON) cuando sea posible, y validar la entrada. Una vulnerabilidad clásica del OWASP Top 10. Relacionada con SSRF y la deserialización insegura.