Blind XXE è un tipo di injection di XML External Entity in cui l'applicazione elabora un'entità malevola, ma l'attaccante non riceve direttamente il contenuto del file o l'output del parser nella risposta. Il parser continua a risolvere i riferimenti esterni, il che può esporre file locali, risorse di rete interne o metadati del sistema tramite effetti collaterali anziché tramite output visibile.
Questo è importante perché l'assenza di una risposta ovvia può nascondere l'attacco. I difensori potrebbero non notarlo se cercano solo dati riflessi nel corpo della pagina. Negli attacchi reali, il blind XXE viene spesso usato con canali out-of-band come callback DNS o HTTP per confermare che la risoluzione delle entità sia avvenuta e per esfiltrare piccoli frammenti di informazioni. Le principali difese sono disabilitare le entità esterne, bloccare l'elaborazione del DTD dove non è necessaria e usare impostazioni rinforzate del parser XML in ogni servizio che accetta XML non affidabile.