能对其他未受保护的内部服务进行跨站请求伪造攻击。在部分情形下，攻击者可通过解引用恶意URI的方式对存在问题的XML处理库进行攻击，导致任意代码执行（以应用程序所使用的账户）。其他攻击针对持续返回数据的本地资源进行，可能会导致应用程序使用过多未释放的线程或行程。需要留意的是，应用程序无需明确返回数据来证明其受信息泄露问题的影响。攻击者可利用受控制的DNS服务器来传输数据至特定子域名。
攻击示例.下列攻击示例来自《Testing for XML Injection (OWASP-