HP fortify XML外部实体注入

Question

Hp fortify向我展示了以下代码中的XML外部实体注入：

StringBuilder sb = new StringBuilder();
StringWriter stringWriter = new StringWriter(sb);
xmlSerializer.Serialize(stringWriter, o);
XmlDocument xmlDoc = new XmlDocument();
xmlDoc.LoadXml(stringWriter.ToString());  //bad code
result = xmlDoc.ChildNodes[1].OuterXml;

在上面，它显示了以下行中的漏洞xmlDoc.LoadXml（stringWriter.ToString（））

我如何解决这种情况？




Answer 1

XmlDocument对象中有一个XmlResolver对象，在4.5.2之前的版本中需要将其设置为null。在4.5.2及更高版本中，此XmlResolver默认设置为null。

Answer 2

使用xmlDoc。XmlResolver=null；在加载xml之前。