金和 OA CompanyBudgetCollectEdit.aspx SQL 注入漏洞

### 漏洞概述 金和 OA 系统（Kingsoft OA）中的 CompanyBudgetCollectEdit.aspx 页面存在 SQL 注入漏洞。 ### 影响范围 主要影响金和 OA 系统的成本控制中心模块，具体涉及 CompanyBudgetCollectEdit.aspx 接口。未指定具体版本号。 ### 利用条件 攻击者需能够访问该 ASPX 页面并构造 POST 请求。PoC 显示无需复杂认证即可发送特定参数（httpAppID）进行注入。 ### 修复建议 1. 对 httpAppID 等用户输入参数使用预编译语句（Prepared Statements）。 2. 过滤或转义特殊字符，特别是单引号和 SQL 关键字。 3. 限制数据库账户权限，最小化权限原则。 ### 参考链接 详见下方 source_links。