Falhas do tipo CWE-112

8 resultados

Validação XML ausente ou insuficiente

Quando uma aplicação processa XML sem validar sua estrutura, schema ou conteúdo contra regras conhecidas, fica vulnerável a ataques como injeção XML, XXE (XML External Entity) e manipulação de lógica. O perigo é que dados malformados ou maliciosos podem contornar controles de segurança e comprometer a integridade da aplicação.

Exemplo

Um serviço que recebe pedidos em XML não valida se o elemento 'preço' é realmente um número ou se contém tags XML injetadas. Um atacante envia <preço><![CDATA[<admin>true</admin>]]></preço> e consegue escalar privilégios porque o parser processa a entidade sem checagem.

Como mitigar

Sempre valide XML contra um schema (XSD) antes de processar. Desative resolução de entidades externas no parser XML (configure com segurança), use whitelists de tags/atributos permitidos, e implemente sanitização de conteúdo sensível. Use ferramentas de validação automática nos testes.

CVE-2025-68493HIGHApache Struts, Apache Struts: XXE vulnerability in outdated XWork componentEPSS 37.1%CVE-2022-28213—When a user access SOAP Web services in SAP BusinessObjects Business Intelligence Platform - version 420, 430, it does not sufficiently valiEPSS 12.5%CVE-2021-1359MEDIUMCisco Web Security Appliance Privilege Escalation VulnerabilityEPSS 1.9%CVE-2020-1975MEDIUMMissing XML Validation in PAN-OS Web InterfaceEPSS 1.0%CVE-2023-40310MEDIUMMissing XML Validation vulnerability in SAP PowerDesigner Client BPMN2 importEPSS 0.8%CVE-2021-27780MEDIUMHCL BigFix Mobile / Modern Client Management is vulnerable to unauthenticated XML interactionEPSS 0.7%CVE-2026-1190LOWOrg.keycloak/keycloak-services: keycloak saml brokering: response delay due to unchecked notonorafter in subjectconfirmationdataEPSS 0.4%CVE-2020-27282—In Hamilton Medical AG,T1-Ventillator versions 2.2.3 and prior, an XML validation vulnerability in the ventilator allows privileged attackerEPSS 0.3%