XXE enjeksiyonu
XML External Entity enjeksiyonu: bir XML ayrıştırıcısının saldırganın sokuşturduğu harici varlıkları işlemeye kandırıldığı, yerel dosya okumaya, SSRF’ye ya da hizmet reddine yol açabilen açık.
XML, harici içeriğe başvurabilen “varlıklar” tanımlamaya izin verir. Saldırgan, zayıf bir ayrıştırıcıya file:///etc/passwd ya da dahili bir URL’yi gösteren bir varlık gönderirse, ayrıştırıcı varlığı açarken dosyayı okur veya isteği yapar ve içeriği yanıta koyar. Sonuçlar: parola ve yapılandırma dosyalarının sızması, SSRF (sunucuyu iç servislere veya bulut metadata’sına istek yaptırmak) ve belleği şişiren “billion laughs” saldırısı. Kök neden, birçok XML kütüphanesinin harici varlık işlemeyi varsayılan olarak açık getirmesiydi. Çözüm basit: ayrıştırıcıda DTD/harici varlık işlemeyi kapatmak. Mümkünse JSON gibi daha sade bir biçim kullanın. OWASP Top 10’un klasik açıklarından.