XML dış varlık (XXE) (ARCH8105)

Anahtar kotlin.security.xxe · Önem error · Kategori security · CWE CWE-611

DTD ve dış varlıklar kapatılmadan kullanılan DocumentBuilderFactory / SAXParserFactory / XMLInputFactory / XmlPullParser’ı işaretler.

Hatalı

val db = DocumentBuilderFactory.newInstance().newDocumentBuilder()

Doğru

val f = DocumentBuilderFactory.newInstance()
f.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)
val db = f.newDocumentBuilder()

Düzeltme

Ayrıştırmadan önce doctype bildirimlerini ve dış genel / parametre varlıklarını kapatın.