Renhxy ERP（仁和云ERP）的 /purchaseOrdersaveOrderApplet.action 接口存在 Fastjson 反序列化漏洞。攻击者可构造恶意 JNDI 链 payload（如 JdbcRowSetImpl）触发服务端 JNDI 查找，配合 JNDIExploit 可进一步实现远程代码执行。

升级 Fastjson 到最新安全版本并开启 safeMode 对 jsonObj 输入做严格校验，禁止反序列化自动类型 部署 WAF 拦截恶意反序列化特征