用友政务系统的 /ma/api/selectMaUser 接口存在SQL注入漏洞，攻击者可通过orgCode参数构造恶意SQL语句，利用UPDATEXML函数触发数据库错误，获取数据库敏感信息。

对orgCode参数进行严格的参数化查询处理，避免直接拼接SQL语句； 使用预编译语句或ORM框架代替字符串拼接； 限制数据库账户权限，禁止使用高权限账户运行应用；