يعاني مكون Config في Symfony من ثغرة حقن الكيانات الخارجية لـ XML (XXE). يحدث هذا لأن الدالة `XmlUtils::parse()` تقوم بتفعيل التحقق من DTD عن طريق تعيين `$dom->validateOnParse = true` قبل استدعاء `loadXML()`، ولا ترفض المستندات التي تحتوي على doctype إلا بعد ذلك. نتيجة لذلك، يقوم libxml بحل الكيانات الخارجية أثناء عملية التحميل. وبينما يقوم `LIBXML NONET` بحظر طلبات `http://` إلا أنه لا يحظر طلبات `file://` مما يسمح لمهاجم عن بُعد بتزويد مستند XML مصمم خصيصاً لتحديد ما إذا كانت الملفات المحلية موجودة أو التسبب في حالة رفض الخدمة من خلال الإشارة إلى ملفات كبيرة أو بطيئة. بالإضافة إلى ذلك، إذا كان هناك wrapper تدفق يدعم الشبكة مثل `s3://` مسجلاً، يمكن استخدام كيان معلمة لإرسال محتوى ملف محلي إلى خادم خارجي. تتأثر التطبيقات عندما يتم تمرير XML غير موثوق به مباشرة إلى الدالة `XmlUtils::parse()`.