XML External Entity (XXE)
Definition
XXE entsteht, wenn XML-Verarbeitung unerwünscht auf externe Dateien oder Ressourcen zugreift.
Eine XML-Parser-Schwachstelle, bei der externe Entitäten unerwünschte Dateien, Netzressourcen oder übermäßige Ressourcen ansprechen.
Einfach erklärt
Ein präpariertes XML-Dokument bringt das Leseprogramm dazu, fremde Dateien oder Netzwerkadressen aufzurufen, die es gar nicht öffnen sollte.
Warum das im Alltag wichtig ist
Der Begriff trägt zu sicheren, wartbaren und leistungsfähigen Webanwendungen sowie belastbaren technischen Entscheidungen bei.
Beispiel aus dem Mittelstand
Ein Importdienst deaktiviert DTDs und externe Entitäten und nutzt sichere Parserprofile.
Grenzen und Fallstricke
- XSS, CSRF und XXE sind verschieden: XXE wirkt serverseitig im XML-Parser; Filter einzelner Zeichen reichen nicht.
Entstehung & Geschichte
XXE entstand aus mächtigen DTD- und Entity-Funktionen in unsicher konfigurierten XML-Parsern.
Anwendung im Mittelstand
- Mögliche Anwendung: Ein Importdienst deaktiviert DTDs und externe Entitäten und nutzt sichere Parserprofile.
Häufige Fragen
Was bedeutet XML External Entity (XXE)?
Eine XML-Parser-Schwachstelle, bei der externe Entitäten unerwünschte Dateien, Netzressourcen oder übermäßige Ressourcen ansprechen. Worauf sollte man achten? XSS, CSRF und XXE sind verschieden: XXE wirkt serverseitig im XML-Parser; Filter einzelner Zeichen reichen nicht.
Quellen
- XXE Prevention Cheat Sheet · OWASP, XXE Prevention Cheat Sheet
Quelle geprüft am 10.10.2026. Redaktionelle Anwendungsbeispiele sind hypothetisch; kein Nachweis realer Kundenergebnisse.
Redaktionell geprüft am: