XML dış varlık (ARCH3105)

Anahtar typescript.security.xxe · Önem error · Kategori security · CWE CWE-611

XML ayrıştırıcısını dış varlıkları (external entity) çözecek şekilde yapılandırmak, saldırganların dosya okuma, SSRF veya hizmet reddi (DoS) için XXE enjeksiyonu yapmasına olanak tanır.

Hatalı

import { parseXml } from "libxmljs2";

// noent: true dış varlıkları çözer
const doc = parseXml(req.body, { noent: true, dtdload: true });

Doğru

import { parseXml } from "libxmljs2";

// Dış varlık ve DTD yükleme devre dışı (varsayılan)
const doc = parseXml(req.body, { noent: false, nonet: true });

Düzeltme

DTD ve dış varlık çözümlemesini devre dışı bırakın; varlık genişletme seçeneklerini kapalı tutun.