Fallos del tipo CWE-91

88 resultados

Injeção XML

Ocorre quando dados não validados de um usuário ou entrada externa são incorporados diretamente em um documento XML processado pela aplicação. Um atacante pode injetar tags, entidades ou estruturas XML malformadas para alterar a semântica do documento, contornar validações, executar XXE (XML External Entity), ou manipular lógica de negócio que depende do parsing XML.

Ejemplo

Um sistema de e-commerce que constrói um pedido em XML concatenando strings do usuário: `<pedido><cliente>` + nome_do_usuario + `</cliente></pedido>`. Se o nome for `</cliente><desconto>90%</desconto><cliente>`, a estrutura XML é corrompida e o pedido passa a ter um desconto não autorizado.

Cómo mitigar

Valide e escape rigorosamente toda entrada antes de inseri-la em XML usando bibliotecas de serialização segura (não concatenação de strings). Use schemas XML (XSD) para validar a estrutura esperada e desabilite processamento de entidades externas (XXE) no parser configurando as propriedades de segurança adequadas.

CVE-2026-44664MEDIUMfast-xml-builder: Comment Value bypass regexEPSS 0.2%CVE-2026-27693MEDIUMtraccar allows XML injection in KML and GPX exportsEPSS 0.2%CVE-2022-50902HIGHWondershare FamiSafe 1.0 - 'FSService' Unquoted Service PathEPSS 0.2%CVE-2026-47080LOWCDATA Section Breakout via Unsanitised ]]> in xml_builderEPSS 0.2%CVE-2026-48590LOWElement and Attribute Names Injected Verbatim into XML Output in xml_builderEPSS 0.2%CVE-2026-1554MEDIUMCentral Authentication System (CAS) Server - Less critical - XML Element Injection - SA-CONTRIB-2026-007EPSS 0.2%CVE-2024-34740HIGHIn attributeBytesBase64 and attributeBytesHex of BinaryXmlSerializer.java, there is a possible arbitrary XML injection due to an integer oveEPSS 0.1%CVE-2026-65124MEDIUMNVIDIA Infrastructure Controller for Linux contains a vulnerability where an attacker could cause an XML injection. A successful exploit of EPSS —