Falhas do tipo CWE-827

3 resultados

Controle Inadequado de Definição de Tipo de Documento (DTD)

A fraqueza ocorre quando uma aplicação processa arquivos XML sem validar ou restringir adequadamente as declarações DTD (Document Type Definition). Um atacante pode injetar DTDs maliciosas para executar ataques como XXE (XML External Entity), leitura de arquivos locais ou negação de serviço através de entidades externas ou bombas XML.

Exemplo

Uma API que aceita uploads de XML para relatórios não desabilita entidades externas. Um atacante envia um XML com DTD contendo `<!ENTITY xxe SYSTEM "file:///etc/passwd">` e consegue vazar dados sensíveis do servidor durante o parsing.

Como mitigar

Desabilite explicitamente o processamento de DTDs e entidades externas no parser XML (configure `XMLConstants.ACCESS_EXTERNAL_DTD` como vazio, desative `FEATURE_SECURE_PROCESSING`, ou use parsers com defaults seguros). Valide e faça sanitização rigorosa de entradas XML antes do processamento.

CVE-2025-4949MEDIUMXXE vulnerability in Eclipse JGitEPSS 0.8%CVE-2026-15803HIGHIn Eclipse RDF4J, several XML parser entry points do not fully restrict XML External Entity (XXE) processing when parsing untrusted XML-baseEPSS 0.3%CVE-2024-9044MEDIUMXML External Entity (XXE) Vulnerability in EasyTaxEPSS 0.2%