Fallos del tipo CWE-776

62 resultados

Expansão de Entidades XML (XML Entity Expansion)

Ocorre quando um parser XML processa entidades customizadas sem limites, permitindo que um atacante defina entidades recursivas ou que referenciam recursos externos. Isso causa consumo massivo de memória, processamento infinito ou acesso a arquivos sensíveis do servidor.

Ejemplo

Um aplicativo recebe um arquivo XML de um usuário e o processa com um parser vulnerável. O atacante envia um XML com entidades aninhadas (bilhões de risos) ou que referenciam /etc/passwd, causando negação de serviço ou vazamento de dados.

Cómo mitigar

Desabilite resolução de entidades externas e DTD no parser XML (em Java: setFeature com XMLConstants.ACCESS_EXTERNAL_DTD = false). Use parsers seguros por padrão ou valide e sanitize entrada XML com schemas restritivos.

CVE-2026-44018MEDIUMDocling: Unsafe Archive Extraction and XML Parsing in METS-GBS BackendEPSS 0.2%CVE-2026-124078HIGHplist.js before 5.0.1 Uncontrolled Resource Consumption via Binary ParserEPSS —