XXE
XML External Entity saldırısı. Harici varlık başvurularını işleyen bir XML ayrıştırıcısını sömürerek yerel dosyaları okur, SSRF yapar ve billion-laughs ile hizmeti aksatır. OWASP Top 10 2017'de yer aldı.
Klasik yük: <!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]> <foo>&xxe;</foo> → sunucu /etc/passwd içeriğini döndürür. Bant dışı XXE: ayrıştırıcıya dışarıya HTTP isteği yaptırılır → SSRF. Billion-laughs: iç içe varlıkların üstel genişlemesi → bellek tüketimiyle hizmet reddi. Savunma: XML ayrıştırıcısında harici varlık işlemeyi kapatmak (libxml: libxml_disable_entity_loader(true)); mümkünse JSON kullanmak. PHP 8.0 öncesinde XXE varsayılan olarak açıktı, 8.0'da varsayılan düzeltildi. OWASP Top 10 2021'de XXE ayrı bir kategori olmaktan çıkarılıp “Güvenlik Yapılandırma Hatası” içine alındı.