Weaknesses of type CWE-91

89 results

Injeção XML

Ocorre quando entrada do usuário é inserida diretamente em documentos XML sem validação ou escape, permitindo que um atacante injete tags, entidades ou estruturas maliciosas. O parser XML processa o conteúdo controlado como código, podendo expor dados sensíveis, desabilitar funcionalidades ou executar operações não autorizadas.

Example

Uma aplicação monta um XML de autenticação concatenando o nome de usuário direto: <usuario>'; </usuario><admin>true</admin><usuario>' vai resultar em um usuário com privilégios elevados. Ou um atacante injeta uma entidade externa que lê arquivos do servidor (XXE attack).

How to mitigate

Sempre usar bibliotecas de serialização XML que escapam automaticamente valores (como builders tipados), validar entrada com whitelist rigorosa, desabilitar processamento de entidades externas no parser XML, e nunca concatenar strings para montar XML. Considere usar APIs de manipulação que separam dados de estrutura.

CVE-2026-44665MEDIUMfast-xml-builder: Attribute values with unwanted quotes can bypass malicious or unwanted attributesEPSS 0.3%CVE-2026-44664MEDIUMfast-xml-builder: Comment Value bypass regexEPSS 0.3%CVE-2026-47080LOWCDATA Section Breakout via Unsanitised ]]> in xml_builderEPSS 0.2%CVE-2026-48590LOWElement and Attribute Names Injected Verbatim into XML Output in xml_builderEPSS 0.2%CVE-2026-11169HIGHInappropriate implementation in XML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UEPSS 0.2%CVE-2026-2310HIGHIBM webMethods Integration Server is vulnerable to an XML external entity injection (XXE) attack when processing XML dataEPSS 0.2%CVE-2022-50902HIGHWondershare FamiSafe 1.0 - 'FSService' Unquoted Service PathEPSS 0.2%CVE-2024-34740HIGHIn attributeBytesBase64 and attributeBytesHex of BinaryXmlSerializer.java, there is a possible arbitrary XML injection due to an integer oveEPSS 0.2%CVE-2026-1554MEDIUMCentral Authentication System (CAS) Server - Less critical - XML Element Injection - SA-CONTRIB-2026-007EPSS 0.2%