xml中。web应用程序将数据保存在xml中，就要用XPath访问数据，这个输入没经过任何过滤净化就插入到查询中，攻击者就可以通过控制修改查询语句来破坏应用程序逻辑或获取未授权数据。