حمله نوعی حمله به برنامه ای است که ورودی را تشکیل می‌دهد. این حمله زمانی رخ می‌دهد که ورودی XML که حاوی مرجعی برای یک موجودیت خارجی است توسط یک تجزیه‌گر XML پیکربندی ضعیف پردازش می‌شود. این حمله ممکن است منجر به افشای اطلاعات محرمانه، انکار سرویس، جعل درخواست سمت سرور، از دید دستگاهی که در آن قرار دارد و سایر تأثیرات سیستم شود. 
 استاندارد XML 1.0 ساختار یک سند XML را تعریف می‌کند. استاندارد مفهومی را به نام موجودیت تعریف می‌کند که از نوع خاصی واحد ذخیره‌سازی است. چند نوع موجودیت مختلف وجود دارد، موجودیت عمومی / پارامتر خارجی تجزیه شده که اغلب به موجودیت خارجی کوتاه می‌شود، که می‌تواند از طریق شناسه سیستم اعلام شده به محتوای محلی یا از راه دور دسترسی پیدا کند. فرض می‌شود شناسه سیستم یک باشد که هنگام پردازش موجودیت، پردازنده XML می‌تواند از آن مراجعه کند (به آن دسترسی پیدا کند). پردازنده XML سپس وقایع موجودیت خارجی نامگذاری شده را با محتوایی که توسط شناسه سیستم ارجاع داده نشده‌است جایگزین می‌کند. اگر شناسه سیستم حاوی داده‌های آلوده باشد و پردازنده XML این داده‌های آلوده را ارجاع دهد، پردازنده XML ممکن است اطلاعات محرمانه ای را که معمولاً توسط برنامه قابل دسترسی نیست، افشا کند. بردارهای حمله مشابه استفاده از خارجی، خارجی، خارجی و غیره را اعمال می‌کنند که اگر شامل شوند، حملات مشابهی را در سبک درج منابع خارجی اعمال می‌کنند.
 این حملات می‌تواند شامل افشای پرونده‌های محلی باشد، که ممکن است حاوی داده‌های حساس مانند رمزهای عبور یا داده‌های کاربر خصوصی باشد، با استفاده از پرونده: طرح ها یا مسیرهای نسبی در شناسه سیستم. از آنجا که حمله نسبت به برنامه پردازش سند XML اتفاق می افتد ، مهاجم ممکن است از این برنامه معتبر برای ایجاد ارتباط با سایر سیستم های داخلی استفاده کند ، احتمالاً محتوای داخلی دیگر را از طریق درخواست های http یا افشا می کند یا حمله به سرویس‌های داخلی محافظت نشده انجام می‌دهد. در برخی شرایط، یک کتابخانه پردازنده XML که در برابر مشکلات خرابی حافظه سمت مشتری آسیب‌پذیر است، ممکن است با ارجاع مجدد یک مخرب مورد سوءاستفاده قرار گیرد، احتمالاً اجرای کد دلخواه در حساب برنامه امکان‌پذیر است. حملات دیگر می‌توانند به منابع محلی دسترسی پیدا کنند که ممکن است بازگشت داده‌ها را متوقف نکند، در صورت آزاد نشدن بسیاری از رشته‌ها یا پردازش‌ها، احتمالاً بر در دسترس بودن برنامه تأثیر می‌گذارد.
 توجه داشته باشید که این برنامه برای آسیب‌پذیر بودن در برابر افشای اطلاعات نیازی به ارسال صریح پاسخ به مهاجم ندارد. یک مهاجم می‌تواند از اطلاعات DNS استفاده کند تا اطلاعات را از طریق نام‌های به سرور DNS تحت کنترل خود منتقل کند.
 
 
 
 مثالهای زیر مربوط به . 
 
هنگامی که ماژول "انتظار" بارگیری می‌شود، اجرای کد از راه دور با یک بار مجاز اصلاح شده امکان‌پذیر است. از آنجا که کل سند XML از یک مشتری غیرقابل اعتماد ابلاغ می‌شود، معمولاً تأیید انتخابی یا فرار از داده‌های آلوده در شناسه سیستم در DTD امکان‌پذیر نیست؛ بنابراین، پردازنده XML باید به گونه ای پیکربندی شود که از DTD استاتیک محلی استفاده کند و هر DTD اعلام شده‌ای را که در سند XML وجود دارد، مجاز نباشد.
{"title": "حمله موجودیت خارجی اکس‌ام‌ال", "link": "https://fa.wikipedia.org//w/index.php?title=%D8%AD%D9%85%D9%84%D9%87_%D9%85%D9%88%D8%AC%D9%88%D8%AF%DB%8C%D8%AA_%D8%AE%D8%A7%D8%B1%D8%AC%DB%8C_%D8%A7%DA%A9%D8%B3%E2%80%8C%D8%A7%D9%85%E2%80%8C%D8%A7%D9%84&oldid=34946787", "language": "fa"}