MAL-006: XML External Entity in "Try It" in WSO2 ESB

在WSO2 ESB的"Try It"工具中发现了基于错误的XML外部实体（XXE）攻击。

为什么没有CVE？

供应商回复称"建议在生产环境中禁用Try It"，并且未进行公开披露。

要求：

此漏洞需要：

• 有效的用户凭据
  或
• 修改来自合法WSO2存储库的XML文件
  或
• 拦截并修改发送到"Try It"工具的文件

概念验证：

更多详细信息及利用过程可参见此 PDF。