XXE-injectie
XML External Entity-injectie: een kwetsbaarheid waarbij een XML-parser externe entiteiten verwerkt die de aanvaller heeft binnengesmokkeld, met leesbare lokale bestanden, SSRF of DoS als gevolg. Ontstaat wanneer een parser gevaarlijke XML-functies standaard toestaat.
Werking: XML kent ‘entiteiten’ die naar externe inhoud kunnen verwijzen. Een aanvaller die XML naar een kwetsbare parser kan sturen, definieert een externe entiteit die bijvoorbeeld naar file:///etc/passwd of een interne URL wijst. Bij het uitvouwen leest de parser het bestand of doet hij de aanroep en geeft de inhoud terug in het antwoord. Gevolgen: gevoelige bestanden lezen (wachtwoordbestanden, configuratie, sleutels), SSRF (de server interne diensten of cloudmetadata laten aanroepen) en een ‘billion laughs’-DoS (recursieve entiteiten die het geheugen opblazen). Oorzaak: veel XML-bibliotheken hadden verwerking van externe entiteiten standaard AAN. Verdediging: DTD's en externe entiteiten in de parser uitschakelen (de simpele, definitieve remedie), waar mogelijk een eenvoudiger formaat (JSON) gebruiken en invoer valideren. Een klassieke kwetsbaarheid uit de OWASP Top 10. Verwant aan SSRF en onveilige deserialisatie.