Forwarded from 科技圈🎗在花频道📮 (Ryan)
币圈直面洪荒之力：四川矿场被洪水淹没后，大量矿机显卡被当街遗弃 https://www.bithkex.com/bitex_v2/archives/cf076388fb0000958fe83cc539253731
Forwarded from 网络安全事件SecEvents (Zer0D4y | symantec.com/theme/star)
漏洞预警 | 微信支付SDK存在XXE漏洞
漏洞信息来源：
http://seclists.org/fulldisclosure/2018/Jul/3
受影响版本：
JAVA SDK，WxPayAPI_JAVA_v3，建议使用了该版本的公司进行异常支付排查。
微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者可以构造恶意的回调数据（XML格式）来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥（md5-key和商家信息，将可以直接实现0元支付购买任何商品）
漏洞信息来源：
http://seclists.org/fulldisclosure/2018/Jul/3
受影响版本：
JAVA SDK，WxPayAPI_JAVA_v3，建议使用了该版本的公司进行异常支付排查。
微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者可以构造恶意的回调数据（XML格式）来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥（md5-key和商家信息，将可以直接实现0元支付购买任何商品）
seclists.org
Full Disclosure: XXE in WeChat Pay Sdk ( WeChat leave a backdoor on merchant
websites)
websites)