Falhas do tipo CWE-611

697 resultados

Injeção de Entidade Externa XML (XXE)

Ocorre quando a aplicação parseia XML sem desabilitar o processamento de entidades externas, permitindo que um atacante injete referências a arquivos locais, servidores internos ou execute ataques de negação de serviço. O risco é crítico: vazamento de dados sensíveis, acesso a sistemas internos ou consumo excessivo de recursos.

Exemplo

Uma API que aceita XML em uma requisição POST parse o conteúdo diretamente com a biblioteca padrão. Um atacante envia um payload como `<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>` e consegue ler arquivos do servidor.

Como mitigar

Desabilite explicitamente o processamento de entidades externas na configuração do parser XML (ex: `XMLConstants.ACCESS_EXTERNAL_DTD` em Java, `resolve_external_entities = False` em Python). Valide e sanitize entrada XML antes do parse, prefira APIs mais seguras ou formatos como JSON quando possível.

CVE-2021-4311MEDIUMTalend Open Studio for MDM XML xml external entity referenceEPSS 0.7%CVE-2025-7523MEDIUMJinher OA DelTemp.aspx xml external entity referenceEPSS 0.7%CVE-2025-68280MEDIUMApache SIS: XML External Entity (XXE) vulnerabilityEPSS 0.7%CVE-2021-32972—Panasonic FPWIN Pro, all Versions 7.5.1.1 and prior, allows an attacker to craft a project file specifying a URI that causes the XML parser EPSS 0.7%CVE-2026-56817HIGHNetty: XML External Entity (XXE) injection via unconfigured XML factory when DTD and entity processing are enabledEPSS 0.7%CVE-2021-43990MEDIUMICSA-22-109-03 FANUC ROBOGUIDE Simulation PlatformEPSS 0.7%CVE-2023-41034MEDIUMDDFFileParser in eclipse leshan is vulnerable to XXE AttacksEPSS 0.7%CVE-2023-45192HIGHIBM Engineering Requirements Management DOORS Next XML external entity injectionEPSS 0.7%CVE-2023-22377HIGHImproper restriction of XML external entity reference (XXE) vulnerability exists in tsClinical Define.xml Generator all versions (v1.0.0 to EPSS 0.7%CVE-2025-49535CRITICALColdFusion | Improper Restriction of XML External Entity Reference ('XXE') (CWE-611)EPSS 0.7%CVE-2024-46985HIGHDataEase has an XXE vulnerabilityEPSS 0.7%CVE-2022-37911LOWDue to improper restrictions on XML entities multiple vulnerabilities exist in the command line interface of ArubaOS. A successful exploit cEPSS 0.7%CVE-2022-23170MEDIUMSysAid - Okta SSO integrationEPSS 0.7%CVE-2025-46726HIGHLangroid Vulnerable to XXE Injection via XMLToolMessageEPSS 0.7%CVE-2025-3241MEDIUMzhangyanbo2007 youkefu XML Document CallCenterRouterController.java xml external entity referenceEPSS 0.7%CVE-2022-3340MEDIUMTrellix IPS Manager vulnerable to XXEEPSS 0.7%CVE-2026-65432HIGHApache CXF: XXE via WSDL/XSD import parsingEPSS 0.7%CVE-2023-46590HIGHA vulnerability has been identified in Siemens OPC UA Modelling Editor (SiOME) (All versions < V2.8). Affected products suffer from a XML exEPSS 0.7%CVE-2024-22354HIGHIBM WebSphere Application Server XML external entity injectionEPSS 0.6%CVE-2025-36049HIGHIBM webMethods Integration Sever XML external entity injectionEPSS 0.6%