Weaknesses of type CWE-91

97 results

Injeção XML

Ocorre quando entrada do usuário é inserida diretamente em documentos XML sem validação ou escape, permitindo que um atacante injete tags, entidades ou estruturas maliciosas. O parser XML processa o conteúdo controlado como código, podendo expor dados sensíveis, desabilitar funcionalidades ou executar operações não autorizadas.

Example

Uma aplicação monta um XML de autenticação concatenando o nome de usuário direto: <usuario>'; </usuario><admin>true</admin><usuario>' vai resultar em um usuário com privilégios elevados. Ou um atacante injeta uma entidade externa que lê arquivos do servidor (XXE attack).

How to mitigate

Sempre usar bibliotecas de serialização XML que escapam automaticamente valores (como builders tipados), validar entrada com whitelist rigorosa, desabilitar processamento de entidades externas no parser XML, e nunca concatenar strings para montar XML. Considere usar APIs de manipulação que separam dados de estrutura.

CVE-2022-20729MEDIUMCisco Firepower Threat Defense Software XML Injection VulnerabilityEPSS 0.3%CVE-2026-2310HIGHIBM webMethods Integration Server is vulnerable to an XML external entity injection (XXE) attack when processing XML dataEPSS 0.3%CVE-2025-47184MEDIUMAn XML external entities (XXE) injection vulnerability in the /init API endpoint in Exagid EX10 before 6.4.0 P20, 7.0.1 P12, and 7.2.0 P08 aEPSS 0.3%CVE-2026-41650MEDIUMfast-xml-parser XMLBuilder: XML Comment and CDATA Injection via Unescaped DelimitersEPSS 0.2%CVE-2026-44665MEDIUMfast-xml-builder: Attribute values with unwanted quotes can bypass malicious or unwanted attributesEPSS 0.2%CVE-2026-48590LOWElement and Attribute Names Injected Verbatim into XML Output in xml_builderEPSS 0.2%CVE-2026-47080LOWCDATA Section Breakout via Unsanitised ]]> in xml_builderEPSS 0.2%CVE-2026-53723MEDIUMguzzlehttp/guzzle-services' XML Request Serialization Vulnerable to XML Injection via CDATA TerminatorEPSS 0.2%CVE-2026-11169HIGHInappropriate implementation in XML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UEPSS 0.2%CVE-2026-44664MEDIUMfast-xml-builder: Comment Value bypass regexEPSS 0.2%CVE-2026-27693MEDIUMtraccar allows XML injection in KML and GPX exportsEPSS 0.2%CVE-2022-50902HIGHWondershare FamiSafe 1.0 - 'FSService' Unquoted Service PathEPSS 0.2%CVE-2024-34740HIGHIn attributeBytesBase64 and attributeBytesHex of BinaryXmlSerializer.java, there is a possible arbitrary XML injection due to an integer oveEPSS 0.2%CVE-2026-1554MEDIUMCentral Authentication System (CAS) Server - Less critical - XML Element Injection - SA-CONTRIB-2026-007EPSS 0.2%CVE-2026-66295LOWProcessing instruction target and content emitted unescaped in Saxy encoder allows XML injectionEPSS 0.2%CVE-2026-66294LOWXML injection in Saxy via unescaped CDATA section terminatorEPSS 0.2%CVE-2026-66293LOWXML comment injection in Saxy encoder via unescaped double hyphenEPSS 0.2%