金和 OA ExcerptAppraiseSet.aspx XXE 漏洞

### 漏洞概述 金和 OA ExcerptAppraiseSet.aspx 接口存在 XXE 漏洞，允许攻击者通过 XML 实体引用读取服务器本地文件。 ### 影响范围 金和 OA C6 系列版本（根据请求路径推断）。 ### 利用条件 攻击者需向 /c6/Jhsoft.Web.Appraise/ExcerptAppraiseSet.aspx 发送 POST 请求，Content-Type 为 application/xml。 ### 修复建议 1. 升级金和 OA 至最新版本。 2. 在 XML 解析器中禁用 DOCTYPE 声明。 3. 限制文件读取权限。 ### 参考链接 详见来源链接列表。