Vulnerability Category — XML Injection

Chinese name:
XML 注入
Detail：
服务端解析用户提交的xml文件时未对xml文件引用的外部实体做合适的处理，并且实体的URL支持file://和php://等协议，攻击者可以在xml文件中声明URI指向服务器本地的实体造成攻击。

Related Vulnerabilities

SSV ID Name
SSV-99792 SAP BusinessObjects Intelligence 4.3 XXE漏洞(CVE-2022-28213)
SSV-99720 泛微OA e-cology XXE 漏洞
SSV-99635 ManageEngine 多个产品远程命令执行漏洞（CVE-2022-47966）
SSV-99543 Zoho ManageEngine ADAudit Plus 未授权RCE漏洞（CVE-2022-28219）
SSV-99508 ArcGIS Enterprise Portal for ArcGIS 组件XXE漏洞
SSV-99413 DedeCMS XML注入漏洞(CVE-2018-16784)
SSV-99235 wordpress 5.7 授权XXE漏洞（CVE-2021-29447）
SSV-99113 WebSphere XML外部实体注入漏洞（CVE-2020-4949）
SSV-99074 Nexus Repository Manager 3 XML外部实体注入漏洞（CVE-2020-29436）
SSV-99065 IBM Maximo Asset Management XXE漏洞（CVE-2020-4463）
SSV-98386 Apache Cocoon XML外部实体注入 （CVE-2020-11991）
SSV-98382 WebSphere XXE 漏洞（CVE-2020-4643）
SSV-98209 WebLogic XXE任意文件读取漏洞（CVE-2020-2949）
SSV-98087 WebLogic 未授权XXE漏洞(CVE-2019-2888)
SSV-97933 Jenkins Swarm Plugin XML external entities information disclosure vulnerability(CVE-2019-10309)
SSV-97921 weblogic CVE-2019-2647等相关XXE漏洞
SSV-97890 phpshe v1.7 XXE 漏洞
SSV-97760 Apache Karaf XXE Vulnerability (CVE-2018-11788)
SSV-97632 WebLogic Web服务测试页 XXE(CVE-2018-3246)
SSV-97610 Apache OFBiz XXE Vulnerability
SSV-97543 JavaMelody组件XXE漏洞
SSV-97397 XXE in WeChat Pay SDK
SSV-97382 KYOCERA Multi-Set Template Editor 3.4 Out-Of-Band XML External Entity Injection
SSV-97138 XXE Zeroday Vulnerability in HP PPM
SSV-97124 Oracle Financial Services Analytical Applications 7.3.5.x / 8.0.x XXE Injection(CVE-2018-2660) / XSS(CVE-2018-2661)
SSV-96970 Cimetrics BACnet Explorer 4.0 XXE Vulnerability
SSV-96838 Shopware 5.3.3: PHP Object Instantiation to Blind XXE
SSV-96596 Apache Commons Jelly connects to url with certain custom doctype definitions.
SSV-96466 Open Fire User Import Export Plugin XML External Entity Injection(CVE-2017-2815)
SSV-93122 openEAP统一登录门户系统存在通用型XXE漏洞
SSV-93114 Oracle PeopleSoft Remote Code Execution: Blind XXE to SYSTEM Shell
SSV-93095 Oracle PeopleSoft HCM 9.2 XXE Injection
SSV-92916 AMF3 Java implementations Improper Restriction of XML External Entity Reference ('XXE')
SSV-92552 SAP NetWeaver AS JAVA - 'BC-BMT-BPM-DSK' XML 外部实体注入漏洞
SSV-92397 Adobe ColdFusion < 11 Update 10 - XML外部实体注入
SSV-92048 Apple Safari for Mac OS X 本地 XXE漏洞
SSV-91844 Data format extension for Jackson XmlMapper XML外部实体漏洞
SSV-91691 AfterLogic WebMail Pro ASP.NET Account Takeover / XXE Injection
SSV-91604 TurboMail XML实体注入漏洞
SSV-91444 万户OA xfire xml实体注入漏洞
SSV-91387 TRS wcm系统 eg_newuser_dowith.jsp XXE漏洞
SSV-91057 mallbuilder多用户商城系统 v5.8.1.1 /api/wechat.php XML注入漏洞
SSV-90736 yonyou OA soapFormat.ajax 参数msg XXE漏洞
SSV-90629 TRS WCM parseXMLFile()函数 XXE漏洞
SSV-90236 Z-BLOG Blind-XXE造成任意文件读取
SSV-89958 用友 hrss/dorado/smartweb2.RPC.d 页面 XXE 漏洞
SSV-89428 WukongCRM 0.5.1 /App/Lib/Action/WeixinAction.class.php XXE漏洞
SSV-88762 SOAPpy 0.12.5 /Parser.py XML注入漏洞
京ICP备10040895号 京公网安备 11010502034610号 Copyright @ 404 Team from Knownsec. 简体中文