XXE-инъекция
XML External Entity injection — уязвимость, при которой XML-парсер заставляют обработать внешние сущности, подсунутые атакующим: это позволяет читать локальные файлы, делать SSRF или вызвать отказ в обслуживании. Возникает, когда парсер по умолчанию разрешает опасные возможности XML.
Механика: в XML есть «сущности», которые могут ссылаться на внешнее содержимое. Атакующий, способный отправить XML уязвимому парсеру, определяет внешнюю сущность, указывающую, например, на file:///etc/passwd или внутренний URL, — при раскрытии сущности парсер читает файл или делает запрос и возвращает результат в ответе. Последствия: чтение чувствительных файлов (пароли, конфиги, ключи), SSRF (сервер обращается к внутренним сервисам и облачным метаданным) и DoS «billion laughs» (рекурсивные сущности раздувают память). Причина: во многих XML-библиотеках обработка внешних сущностей была включена по умолчанию. Защита: отключить обработку DTD и внешних сущностей в парсере (простое и окончательное лекарство), по возможности взять более простой формат (JSON) и проверять входные данные. Классика OWASP Top 10. Родственна SSRF и небезопасной десериализации.