O componente Config do Symfony é suscetível a injeção de Entidade Externa XML (XXE). Isso ocorre porque a função `XmlUtils::parse()` habilita a validação DTD ao definir `$dom->validateOnParse = true` antes de chamar `loadXML()`, e apenas rejeita documentos com um doctype posteriormente. Consequentemente, o libxml resolve entidades externas durante o processo de carregamento. Embora o `LIBXML NONET` bloqueie requisições `http://`, ele não bloqueia requisições `file://`, permitindo que um invasor remoto forneça um documento XML manipulado para determinar se arquivos locais existem ou causar a negação de serviço ao apontar para arquivos grandes ou lentos. Além disso, se um wrapper de stream capaz de rede como `s3://` estiver registrado, uma entidade de parâmetro pode ser usada para exfiltrar o conteúdo de arquivos locais para um servidor externo. As aplicações são afetadas quando XML não confiável é passado diretamente para a função `XmlUtils::parse()`.