【漏洞对象】Apache Roller 【涉及版本】Apache Roller < 5.0.3 【漏洞描述】 Apache Roller是一个基于Java的全功能，多用户和组博客服务器，适用于大大小小的博客站点。其/roller-services/xmlrpc文件xml外部实体注入导致可读取敏感文件，泄露系统配置文件，还可用于探测内网端口，导致网站处于极度不安全状态。

1、禁用外部实体。 2、过滤用户提交的XML数据。 3、更新到最新版本：<a href="http://archive.apache.org/dist/roller/" target="_blank">http://archive.apache.org/dist/roller/</a