几天前，安全研究人员在Internet Explorer中发现了一个安全漏洞。攻击者可以使用此漏洞窃取文件或本地信息。根据研究人员的说法，IE是MHT文件的默认开启者，因此即使用户使用其他浏览器，IE也可能会打开恶意MHT文件。 MHT是Internet Explorer用于脱机下载和保存文件的格式。它可用于保存Web内容或保存电子邮件。
研究人员发现IE浏览器中存在XXE漏洞，可以绕过ActiveX控件模块的安全性。通常，如果要激活ActiveX控件对象，IE将在地址栏中显示提示，然后用户必须手动单击“允许”才能执行。开发者只需要欺骗用户双击打开MHT文件。打开后，本地文件和相关程序版本信息将被泄露。
安全研究人员写道，
如果用户在本地打开特制的.MHT文件，则Internet Explorer易受XML外部实体攻击。
在本地打开恶意“.MHT”文件后，它应该启动Internet Explorer。之后，用户交互（如重复选项卡“Ctrl + K”）和其他交互（如右键单击网页上的“打印预览”或“打印”命令）也可能会触发XXE漏洞。
但是，对window.print（）Javascript函数的简单调用应该可以完成，而无需任何用户与网页交互。重要的是，如果文件是从压缩存档中的Web下载并使用某些存档实用程序打开的，则MOTW可能无法像宣传的那样工作。
通常，在实例化像“Microsoft.XMLHTTP”这样的ActiveX对象时，用户将在IE中获得安全警告栏并被提示激活被阻止的内容。但是，当使用恶意<xml>标记标记打开特制的.MHT文件时，用户将不会收到此类活动内容或安全栏警告。
此漏洞在提交给Microsoft后已被Microsoft确认。微软表示，将考虑调整策略，在未来版本中阻止这种利用。根据微软的说法，公司应该认为这个漏洞相对较小。毕竟，漏洞只能窃取非常有限的信息，而不会造成严重威胁。