Fallos del tipo CWE-112

8 resultados

Validação ausente de XML

Ocorre quando uma aplicação processa arquivos XML sem validar sua estrutura contra um schema ou DTD. Isso permite que um atacante injete dados malformados, explore parsers XML (como XXE ou XML bombs) ou contorne lógica de negócio que depende do formato esperado.

Ejemplo

Uma API recebe um XML de pedido, faz parse direto sem validação e passa os dados para banco de dados. Um atacante envia um XML com tags não esperadas ou referências externas maliciosas, comprometendo a integridade dos dados ou causando negação de serviço.

Cómo mitigar

Implemente validação contra XSD ou DTD restritivo; desabilite processamento de DTDs externas e entidades no parser XML; use bibliotecas seguras configuradas para rejeitar payloads suspeitos; valide entrada contra whitelist de elementos e atributos esperados.

CVE-2025-68493HIGHApache Struts, Apache Struts: XXE vulnerability in outdated XWork componentEPSS 37.1%CVE-2022-28213—When a user access SOAP Web services in SAP BusinessObjects Business Intelligence Platform - version 420, 430, it does not sufficiently valiEPSS 12.5%CVE-2021-1359MEDIUMCisco Web Security Appliance Privilege Escalation VulnerabilityEPSS 1.9%CVE-2020-1975MEDIUMMissing XML Validation in PAN-OS Web InterfaceEPSS 1.0%CVE-2023-40310MEDIUMMissing XML Validation vulnerability in SAP PowerDesigner Client BPMN2 importEPSS 0.8%CVE-2021-27780MEDIUMHCL BigFix Mobile / Modern Client Management is vulnerable to unauthenticated XML interactionEPSS 0.7%CVE-2026-1190LOWOrg.keycloak/keycloak-services: keycloak saml brokering: response delay due to unchecked notonorafter in subjectconfirmationdataEPSS 0.4%CVE-2020-27282—In Hamilton Medical AG,T1-Ventillator versions 2.2.3 and prior, an XML validation vulnerability in the ventilator allows privileged attackerEPSS 0.3%