Injeção XXE
XML External Entity injection — vulnerabilidade em que um parser XML é induzido a processar entidades externas plantadas pelo atacante, o que permite ler arquivos locais, fazer SSRF ou causar um DoS. Surge quando o parser habilita por padrão recursos perigosos do XML.
Mecanismo: o XML suporta "entidades" que podem referenciar conteúdo externo. Um atacante que consegue enviar XML a um parser vulnerável define uma entidade externa apontando para, por exemplo, file:///etc/passwd ou uma URL interna → quando o parser expande a entidade, ele lê o arquivo ou faz a chamada e devolve o conteúdo na resposta. Consequências: leitura de arquivos sensíveis (senhas, configurações, chaves), SSRF (fazer o servidor chamar serviços internos ou metadados da nuvem) e um DoS do tipo "billion laughs" (entidades recursivas que incham a memória). Causa raiz: muitas bibliotecas XML vinham com o processamento de entidades externas LIGADO por padrão. Defesa: desativar o processamento de DTD/entidades externas no parser (a cura simples e definitiva), usar um formato mais simples (JSON) sempre que possível e validar a entrada. Uma vulnerabilidade clássica do OWASP Top 10. Relacionada a SSRF e desserialização insegura.