XML实体扩展
描述：XML实体扩展
XML实体扩展漏洞之所以出现，是因为XML规范允许XML文档定义引用文档中定义的其他实体的实体。如果将其递归地完成至显着深度，则XML解析器将在处理每个递归级别时，将成倍增加存储器和处理器资源的数量。这可能导致拒绝服务条件，从而导致整个应用程序停止运行。
笔记：为了避免造成实际的拒绝服务，Burp Suite仅验证实体正在递归扩展到适度的深度。报告的应用程序实际上并不脆弱，因为它们旨在防止实体扩展超出给定深度。
修复：XML实体扩展
XML实体扩展利用Doctype标签来定义注射实体。XML解析器通常可以配置为禁用此标签的支持。您应该为XML解析库咨询文档，以确定如何禁用此功能。
也可以使用输入验证来阻止包含Doctype标签的输入。
参考
脆弱性分类
典型的严重程度
中等的
类型索引（HEX）
0x00400700
类型索引（十进制）
4196096