【漏洞預警】微信支付SDK存在嚴重漏洞，可導致0元支付或商家服務器被黑

XXE (XML External Entity Injection) 漏洞發生在應用程序解析 XML 輸入時，沒有禁止外部實體的加載。是一種針對使用XML交互的Web應用程序的攻擊方法。 受影響版本：
 JAVA SDK，WxPayAPI_JAVA_v3 微信在JAVA版本的SDK中提供callback回調功能，用來幫助商家接收異步付款結果，該接口接受XML格式的數據，攻擊者可以構造惡意的回調數

>>阅读原文<<