Eine XML-Bombe ist eine speziell aufgebaute XML-Eingabe, deren verschachtelte Entitäten bei der Verarbeitung stark anwachsen können. Ein unzureichend begrenzter Parser kann dadurch ungewöhnlich viel Speicher oder Rechenzeit verbrauchen.
Der Angriff zielt auf Verfügbarkeit und wird häufig als Entity Expansion oder „Billion Laughs“-Problem beschrieben. Moderne Parser bieten Schutzoptionen; Einstellungen und Standardverhalten unterscheiden sich jedoch nach Bibliothek und Version.
Abwehrmaßnahmen sind das Deaktivieren unnötiger externer Entitäten sowie Größen-, Tiefen- und Laufzeitlimits für nicht vertrauenswürdige XML-Daten.
Quellen und Prüfstand
Inhaltlich überarbeitet am 2026-10-13. Risiko defensiv und parserabhängig erläutert.