Fallos del tipo CWE-91

97 resultados

Injeção XML

Ocorre quando dados não validados de um usuário ou entrada externa são incorporados diretamente em um documento XML processado pela aplicação. Um atacante pode injetar tags, entidades ou estruturas XML malformadas para alterar a semântica do documento, contornar validações, executar XXE (XML External Entity), ou manipular lógica de negócio que depende do parsing XML.

Ejemplo

Um sistema de e-commerce que constrói um pedido em XML concatenando strings do usuário: `<pedido><cliente>` + nome_do_usuario + `</cliente></pedido>`. Se o nome for `</cliente><desconto>90%</desconto><cliente>`, a estrutura XML é corrompida e o pedido passa a ter um desconto não autorizado.

Cómo mitigar

Valide e escape rigorosamente toda entrada antes de inseri-la em XML usando bibliotecas de serialização segura (não concatenação de strings). Use schemas XML (XSD) para validar a estrutura esperada e desabilite processamento de entidades externas (XXE) no parser configurando as propriedades de segurança adequadas.

CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83607HIGHxmldom: Element name injection via createElement() bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83605HIGHxmldom: Attribute name injection via setAttribute() bypasses requireWellFormedEPSS 0.6%CVE-2024-47113HIGHIBM ICP - Voice Gateway XML injectionEPSS 0.6%CVE-2026-24329MEDIUMWildfly-core: wildfly core: denial of service via malformed payload injection by an authenticated administrative user.EPSS 0.6%CVE-2025-66034MEDIUMfontTools is Vulnerable to Arbitrary File Write and XML injection in fontTools.varLibEPSS 0.6%CVE-2025-12921MEDIUMOpenClinica Community Edition CRF Data Import ImportCRFData xml injectionEPSS 0.6%CVE-2026-83617HIGHxmldom: requireWellFormed element/attribute name validation is bypassable via an embedded line terminatorEPSS 0.6%CVE-2026-83618HIGHxmldom: requireWellFormed DocType publicId/systemId validation is bypassable via an embedded line terminatorEPSS 0.6%CVE-2026-41674HIGHxmldom: XML injection through unvalidated DocumentType serializationEPSS 0.6%CVE-2025-24404HIGHApache HertzBeat (incubating): RCE by parse http sitemap xml responseEPSS 0.6%CVE-2026-83609HIGHxmldom: Creation-time XML Name/QName validation is bypassable via an embedded line terminator, allowing injection on the default serialization pathEPSS 0.5%CVE-2024-42374HIGHXML injection in SAP BEx Web Java Runtime Export Web ServiceEPSS 0.5%CVE-2025-1545HIGHWatchGuard Firebox XPath Injection Vulnerability in Web CGIEPSS 0.5%CVE-2026-40165HIGHauthentik: SAML NameID XML Comment Injection Enables Authentication Bypass via Identifier TruncationEPSS 0.5%CVE-2023-35858MEDIUMXPath Injection vulnerabilities in the blog and RSS functions of Modern Campus - Omni CMS 2023.1 allow a remote, unauthenticated attacker toEPSS 0.5%CVE-2024-13190MEDIUMZeroWdd myblog BlogMapper.xml xml injectionEPSS 0.5%CVE-2026-34601HIGHxmldom: XML injection via unsafe CDATA serialization allows attacker-controlled markup insertionEPSS 0.5%CVE-2025-25589HIGHAn XML external entity (XXE) injection vulnerability in the component /weixin/aes/XMLParse.java of yimioa before v2024.07.04 allows attackerEPSS 0.5%