XXE: XML external entity

[ByQwert]

Скорее всего, имелись в виду атаки вида SSRF (Server-Side Request Forgery), а не CSRF (Сross Site Request Forgery). CSRF уязвимость на клиенте. А при эксплуатации XXE обработка XML файла происходит на сервере.

[vdssh]

Всё верно, опечатка. Речь идет именно о server side атаке.

[vdssh]

Тестирование уязвимостей XXE входит в аудит безопасности сайта.