XPath注入是一種針對使用XPath（XML Path Language）的應用程式的安全漏洞。
XPath是一種在XML文檔中定位和選擇數據的查詢語言，廣泛套用於Web應用程式中的數據提取和處理過程，當網站使用未經正確處理的用戶輸入進行XPath查詢時，就可能發生XPath注入攻擊。
這種攻擊利用XPath解析器的鬆散輸入和容錯特性，允許攻擊者在URL、表單或其他信息上附帶惡意的XPath查詢代碼，從而獲得未授權的數據訪問權或執行惡意操作。例如，通過輸入特定的XPath表達式，攻擊者可以繞過應用程式的安全控制，獲取敏感信息或更改數據。
防禦XPath注入的最佳做法是對用戶輸入進行充分的驗證和清理，確保所有用戶輸入都被正確轉義或編碼，以防止此類攻擊。