强化XML外部实体(XXE)

Question

我在强化报告中收到了第4行的XML外部实体注入安全警告。不知道如何修复它。我对SOAP、JAXB和Marshaller都很陌生。

1    private TargetObject convert( ResponseEntity<String> response ) throws JAXBException{
2       JAXBContext jaxbContext = JAXBContext.newInstance( TargetObject.class );
3       Unmarshaller unmarshaller = jaxbContext.createUnmarshaller();
4       StringReader reader = new StringReader( Objects.requireNonNull( response.getBody() ) );
5       TargetObject targetObject = (ArrayOfOrderList) unmarshaller.unmarshal( reader );
6       return targetObject;
7    }

第4行(XML外部实体注入(高
问题详细信息
王国：输入验证和表示
扫描引擎：SCA(语义(
接收器详细信息
接收器：解组((

提前感谢！

Answer 1

我建议您阅读：OWASP XXE预防作弊表。这将为您提供解决方案