XML dış varlık enjeksiyonu (ARCH6105)

Anahtar ruby.security.xxe · Önem error · Kategori security · CWE CWE-611

Dış varlıkları ve DTD’leri çözecek şekilde yapılandırılmış bir XML ayrıştırıcısı, saldırganın dosya okuması, SSRF veya hizmet reddi gerçekleştirmesine olanak tanır.

Hatalı

doc = Nokogiri::XML(input) do |config|
  config.noent
end

Doğru

doc = Nokogiri::XML(input) do |config|
  config.nonet.nonoent
end

Düzeltme

Varlık genişletmeyi ve harici DTD/ağ erişimini kapatın (nonoent, nonet); güvenilmeyen XML’de DTD’leri tamamen reddedin.