【漏洞预警】微信支付SDK存在严重漏洞，可致使0元支付或商家服务器被黑

XXE (XML External Entity Injection) 漏洞发生在应用程序解析 XML 输入时，没有禁止外部实体的加载。是一种针对使用XML交互的Web应用程序的攻击方法。 受影响版本：
 JAVA SDK，WxPayAPI_JAVA_v3 微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者能够构造恶意的回调数

>>阅读原文<<