XXE
Atak XML External Entity. Wykorzystuje parser XML przetwarzający odwołania do zewnętrznych encji → odczyt lokalnych plików, SSRF, DoS przez „billion laughs”. OWASP Top 10 2017–2021.
Klasyczny ładunek: <!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]> <foo>&xxe;</foo> → serwer zwraca zawartość /etc/passwd. XXE out-of-band: parser wykonuje wychodzące żądanie HTTP → SSRF. Billion laughs: zagnieżdżone encje rozwijają się wykładniczo → DoS przez wyczerpanie pamięci. Obrona: wyłączyć przetwarzanie zewnętrznych encji w parserze XML (libxml: libxml_disable_entity_loader(true)), a gdzie się da, używać JSON-a. PHP < 8.0 domyślnie dopuszczał XXE, od 8.0 domyślnie jest to naprawione. Współcześnie: w OWASP Top 10 2021 XXE wyodrębniono z „Injection” do osobnej kategorii „Software and Data Integrity Failures”.