XML harici varlık enjeksiyonu (ARCH2105)

Anahtar python.security.xxe · Önem error · Kategori security · CWE CWE-611

Harici varlıkları veya DTD’leri çözen XML ayrıştırıcıları, saldırganın dosya okumasına, SSRF ve hizmet reddi (DoS) saldırılarına yol açabilir. Varlık çözümlemeyi kapatın.

Hatalı

from lxml import etree

def parse(xml_bytes):
    parser = etree.XMLParser(resolve_entities=True)
    return etree.fromstring(xml_bytes, parser)

Doğru

from lxml import etree

def parse(xml_bytes):
    parser = etree.XMLParser(resolve_entities=False, no_network=True)
    return etree.fromstring(xml_bytes, parser)

Düzeltme

Ayrıştırıcıda harici varlık ve DTD çözümlemeyi kapatın; mümkünse defusedxml kullanın.