Что такое XML injection и XML external entity (XXE)?

XML Injection — вставка XML структур в поля для изменения логики. XXE (XML External Entity) — опасная уязвимость: XML обработчик читает внешние ресурсы через DTD. Атака: ]>&xxe; — читаем файлы с сервера. Или SSRF через XXE. Тестируем: все API принимающие XML. Добавляем DOCTYPE с external entity. Если ответ содержит содержимое файла — уязвимость. Защита: отключить external entity processing в XML parser (XXE Prevention Cheat Sheet).