微信支付官方回应XXE漏洞问题

来源:http://info.hhczy.com 编辑:JA 2018-07-07 | 标签：微信支付 XXE漏洞 |

据悉，微信支付官方在5日发布声明，称微信支付的SDK重大漏洞（XXE漏洞）是XML组件默认没有禁用外部实体引用导致。

通过该漏洞，攻击者能够获得服务器中目录结构和文件内容，如各种私钥、代码等。

以下为公告原文：

尊敬的微信支付商户：

温馨提示，请贵公司研发团队关注XML外部实体注入漏洞(XXE)的相关信息：

1、XML外部实体注入漏洞(XML External Entity Injection，简称 XXE)，该安全问题是XML组件默认没有禁用外部实体引用导致。

2、请安排贵公司技术人员排查确认其系统中接收微信支付回调通知部分的逻辑是否存在XXE漏洞，同时也请排查其他相关系统是否存在该漏洞，该漏洞极易因研发人员编码遗漏引入且危害很大，具体的检查和修复方案已经在微信支付商户平台内发布公告，请尽快让技术人员进行查看和处理。

3、微信支付安全实践指引：https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=23_5

微信支付团队

2018年7月5日

人物观点

更多 >

卢捷：创新创业要考虑自身造血赚钱
卢捷，厦门创客猫网络科技有限公司创始人，热衷创新创业，是一位名副其实的有为创业青年，主要从事互联网相关行业，自双创热潮出现后，投身于为互联网活动、创新创业活动的主办方做线下活动的图文直播、现场采访、媒体报道等这样的一个现场媒体服务。
林超：平行进口车为汽车市场添活力
恒基瑞驰科技创始人，美国天马迅达快递副董事长。2007年赴美留学，进修工商管理硕士。2010年5月创立了美国迅达快递，致力于为海外华人和国内海淘用户提供优质的物流服务。2014年5月份联合创立了美国天马迅达快递。在全美30多个州开设了100多家加盟店，服务于全美华人，电商以及海淘客户。2016年开始投资创立“恒基瑞驰供应链管理平台”，全面服务于平行进口车的各个贸易商与经销商。