润申企业标准化管理系统为润申标准化技术服务（上海）有限公司开发运营。 /PDCA/ashx/OrderHandler.ashx接口存在 SQL 注入漏洞，接口接收用户可控参数后，未做严格过滤与转义，直接拼接进入 MSSQL SQL 语句执行。攻击者无需登录认证，即可构造注入载荷执行任意数据库查询操作，可读取订单、人员、账号等敏感业务数据，极端情况下可篡改数据、获取服务器权限。

1、修改代码，使用预编译参数化查询，禁止直接拼接 std_no 等用户输入； 2、增加入参校验，拦截单引号、WAITFOR、union、--等注入特征； 3、数据库账号最小权限配置；