XML harici varlık (ARCH4105)

Anahtar java.security.xxe · Önem error · Kategori security · CWE CWE-611

DTD’leri veya harici varlıkları çözecek şekilde yapılandırılmış bir XML ayrıştırıcı, XXE enjeksiyonuna açıktır; bu da yerel dosya okuma, SSRF ve hizmet reddine yol açabilir.

Hatalı

DocumentBuilderFactory f = DocumentBuilderFactory.newInstance();
Document doc = f.newDocumentBuilder().parse(input);

Doğru

DocumentBuilderFactory f = DocumentBuilderFactory.newInstance();
f.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
f.setXIncludeAware(false);
f.setExpandEntityReferences(false);
Document doc = f.newDocumentBuilder().parse(input);

Düzeltme

Ayrıştırıcıda DOCTYPE bildirimlerini ve harici varlık çözümlemesini devre dışı bırakın.