XML external entity (XXE) (ARCH329)

Anahtar dotnet.security.xxe · Önem error · Kategori security · CWE CWE-611

DTD ve dış varlık işlemesi açık bırakılan XML ayrıştırıcıları, saldırganların yerel dosyaları okumasına, SSRF gerçekleştirmesine veya hizmet dışı bırakma saldırıları yapmasına olanak tanır.

Hatalı

var settings = new XmlReaderSettings
{
    DtdProcessing = DtdProcessing.Parse,
    XmlResolver = new XmlUrlResolver()
};
using var reader = XmlReader.Create(input, settings);

Doğru

var settings = new XmlReaderSettings
{
    DtdProcessing = DtdProcessing.Prohibit,
    XmlResolver = null
};
using var reader = XmlReader.Create(input, settings);

Düzeltme

DtdProcessing değerini Prohibit yapın ve XmlResolver özelliğini null olarak ayarlayarak dış varlık çözümlemesini engelleyin.