这是一个创建于 2334 天前的主题，其中的信息可能已经有所发展或是发生改变。
漏洞：微信支付 sdk xml 实体注入
等级：高危
细节：
基于微信支付的应用需提供回调地址用于接收异步付款结果，微信支付 sdk for java 的版本中存在 xml 实体注入攻击漏洞，攻击者通过构造恶意 payload 可以读取服务器上应用信息。一旦攻击者获取 app_token 等秘钥信息。攻击者可利用获取的秘钥信息伪造支付请求实现零元支付。
修复方案：等待微信官方升级方案或临时添加 waf 规则
来源：
http://seclists.org/fulldisclosure/2018/Jul/3
本地验证截图：
 |
1
quu OP 这是什么鬼？很多人点击，就是没互动，哈哈。
sdk for java 有问题，其它自查吧，另外 Wordpress ≤ 4.9.6 也去升级最新，有个任意文件删除。 |
 |
2
hcymk2 2018-07-03 15:28:14 +08:00
wxpay 官方的提供 最新的 PHPSDK 没问题。有 libxml_disable_entity_loader(true)
|
Select Language