搜尋結果
2018年7月8日 · 微信支付的sdk中提供了WXPayUtil这个工具类，该类中实现了xmltoMap和maptoXml这两个方法，而这次的微信支付的xxe漏洞爆发点就在xmltoMap方法中。 该方法是为了将xml格式的字符串strXML转化为map。
2019年9月18日 · 昨日在国外安全社区seclists有一个署名叫Rose Jackcode的白帽子公布了微信支付sdk的一个严重的安全漏洞 (xxe漏洞)。 攻击者可以伪造一个恶意的 回调 数据请求 (xml格式)，读取商户服务器上任意文件，甚至可以执行远程系统命令，导致商户服务器被入侵。 目前微信支付安全团队表示已对该SDK进行更新，修复了已知的安全漏洞，并在此提醒商户及时更新。 虽然微信支付官网上的sdk更新了，但是漏洞是存在于商户的网站系统中，需要商户下载最新的sdk对系统进行更新发布（或者看下面的自己修复方案）。 因此目前还有大量的微信商户系统存在此漏洞，相关商户需要及时更新。 来看看该微信支付sdk漏洞如何造成的：
2018年7月4日 · 针对近日被网友爆出的微信支付安全漏洞问题，腾讯方面回复36氪称，微信支付技术安全团队第一时间关注及排查，并已对官方网站上受影响的服务 ...
2018年7月4日 · 3日，有网络安全机构曝光了一组微信支付的技术漏洞，据称攻击者可利用该漏洞将自己伪装成微信支付平台，通过篡改数据的方式获得“0元购”特权。
发件人Rose Jackcode在信中称，微信支付官方SDK（软件工具开发包）存在的严重漏洞，此漏洞可导致商家服务器被入侵，一旦攻击者获得商家的关键安全密钥，就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。 在使用微信支付时，商家需要提供通知网址以接受异步支付结果。 问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。 攻击者可以向通知URL构建恶意payload，根据需要窃取商家服务器的任何信息。 换句话说，黑客利用微信支付的这个漏洞，能实现0元买买买的情况。 陌陌的微信支付漏洞利用过程陌陌的微信支付漏洞利用过程. vivo的微信支付漏洞利用过程vivo的微信支付漏洞利用过程. 对此，微信支付方面未发布相关安全公告。
2018年7月4日 · 漏洞预警 | 微信支付SDK存在XXE漏洞. 0x01 漏洞概要. 漏洞的始发是在seclists.org上的. XXE in WeChat Pay Sdk ( WeChat leave a backdoor on merchant websites) 看描述挺吓人的，微信wechat的SDK有XXE漏洞（微信在商家的网站留了后门）。 报漏洞是好事，但是不要“搞事情”啊，好好写标题不行么：） 但是仔细看的话，出问题的是是在JAVASDK中WXPayUtil.java中. # java-sdk-v3\src\main\java\com\github\wxpay\sdk\WXPayUtil.java.
微信支付突曝严重漏洞，商家恐被绕过支付. 今日，白帽汇NOSEC安全讯息平台发布报告，发现某国外安全社区公布了微信支付官方SDK存在的严重漏洞，该漏洞可导致商家服务器被绕过支付。. 微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款 ...
根据微信公告信息，此次漏洞影响的是：在微信支付异步回调接口中，使用微信支付 SDK（JAVA版）进行XML解析的应用。 因此，受影响的SDK指服务器端，并不包括用户APP端。
近日，国家信息安全漏洞库（CNNVD）收到关于微信支付SDK XXE（XML External Entity）漏洞（CNNVD-201807-083）情况的报送。. 成功利用该漏洞的攻击者可以远程读取服务器文件，获取商户服务器上的隐私数据，甚至可以支付任意金额购买商品。. 使用有漏洞的Java版本微信 ...
2018年7月3日 · 微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者可以构造恶意的回调数据（XML格式）来窃取商家服务器上的任何信息。
