Falhas do tipo CWE-91

97 resultados

Injeção XML

Ocorre quando dados não validados do usuário são inseridos diretamente em um documento XML, permitindo que um atacante injete elementos, atributos ou entidades maliciosas. O parser XML processa o conteúdo injetado como código legítimo, comprometendo a integridade da estrutura ou permitindo ataques como XXE (XML External Entity) e negação de serviço.

Exemplo

Um sistema aceita nome de usuário em um formulário e monta um XML sem sanitização: `<user><name>` + entrada_usuário + `</name></user>`. Se o atacante envia `</name><admin>true</admin><name>`, o XML resultante terá um campo admin não previsto, alterando o comportamento da aplicação.

Como mitigar

Valide e escape todos os dados de entrada antes de construir XML (use bibliotecas de escape específicas para XML, como xmllint ou equivalentes). Prefira usar APIs estruturadas (marshalling/serialização) em vez de concatenação manual de strings, e desabilite processamento de entidades externas no parser XML.

CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83607HIGHxmldom: Element name injection via createElement() bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83605HIGHxmldom: Attribute name injection via setAttribute() bypasses requireWellFormedEPSS 0.6%CVE-2024-47113HIGHIBM ICP - Voice Gateway XML injectionEPSS 0.6%CVE-2026-24329MEDIUMWildfly-core: wildfly core: denial of service via malformed payload injection by an authenticated administrative user.EPSS 0.6%CVE-2025-66034MEDIUMfontTools is Vulnerable to Arbitrary File Write and XML injection in fontTools.varLibEPSS 0.6%CVE-2025-12921MEDIUMOpenClinica Community Edition CRF Data Import ImportCRFData xml injectionEPSS 0.6%CVE-2026-83617HIGHxmldom: requireWellFormed element/attribute name validation is bypassable via an embedded line terminatorEPSS 0.6%CVE-2026-83618HIGHxmldom: requireWellFormed DocType publicId/systemId validation is bypassable via an embedded line terminatorEPSS 0.6%CVE-2026-41674HIGHxmldom: XML injection through unvalidated DocumentType serializationEPSS 0.6%CVE-2025-24404HIGHApache HertzBeat (incubating): RCE by parse http sitemap xml responseEPSS 0.6%CVE-2026-83609HIGHxmldom: Creation-time XML Name/QName validation is bypassable via an embedded line terminator, allowing injection on the default serialization pathEPSS 0.5%CVE-2024-42374HIGHXML injection in SAP BEx Web Java Runtime Export Web ServiceEPSS 0.5%CVE-2025-1545HIGHWatchGuard Firebox XPath Injection Vulnerability in Web CGIEPSS 0.5%CVE-2026-40165HIGHauthentik: SAML NameID XML Comment Injection Enables Authentication Bypass via Identifier TruncationEPSS 0.5%CVE-2023-35858MEDIUMXPath Injection vulnerabilities in the blog and RSS functions of Modern Campus - Omni CMS 2023.1 allow a remote, unauthenticated attacker toEPSS 0.5%CVE-2024-13190MEDIUMZeroWdd myblog BlogMapper.xml xml injectionEPSS 0.5%CVE-2026-34601HIGHxmldom: XML injection via unsafe CDATA serialization allows attacker-controlled markup insertionEPSS 0.5%CVE-2025-25589HIGHAn XML external entity (XXE) injection vulnerability in the component /weixin/aes/XMLParse.java of yimioa before v2024.07.04 allows attackerEPSS 0.5%