Что такое уязвимость XXE (XML External Entity)?

XXE (Внешние сущности XML) — это уязвимость парсеров XML.

Стандарт XML позволяет объявлять "сущности" (переменные), которые могут ссылаться на локальные файлы сервера.

Сценарий атаки:
Хакер отправляет SOAP или REST запрос с XML:
xml
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<user>
<name>&xxe;</name>
</user>

Уязвимый парсер прочитает системный файл с паролями Linux (/etc/passwd), подставит его содержимое вместо &xxe; и вернет хакеру в ответе.

✅ Защита: Жестко отключить поддержку DTD (Document Type Definition) и внешних сущностей в настройках XML-парсера на бэкенде.