近期丁老师在对OJS期刊系统进行等保工作时，发现OJS一个安全漏洞，即任意文件上传漏洞，具体内容如下。
漏洞描述
任意文件上传漏洞（Unrestricted File Upload），是一种常见的Web安全漏洞，由于Web应用程序在实现文件上传功能时对上传的文件缺少必要的检查，使得攻击者可上传任意文件。利用该漏洞，攻击者可以直接上传Webshell（WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称之为一种网页后门）、病毒、恶意脚本等各种危险文件，可能导致服务器权限被直接获取，从而危及整个系统的安全运行。
测试过程
点击投稿系统，选择文件上传，可以上传任意文件，但是脚本文件会被替换成txt.但是可以上传html文件，造成xss，Url如下：
index.php/is/api/v1/submissions/202/files关键特征
解决方案
1、对用户上传的文件类型采用白名单进行限制，且重命名文件名。
2、限定文件上传目录，且该目录不允许解析动态脚本文件。
3、更新Web服务器版本并进行正确配置，防止解析漏洞。
针对上述解决方案，如需专业技术修复，可以联系丁老师咨询。
有做期刊的出版社客户咨询，OJS系统支持手机、平板等移动端吗？丁老师给你解答，OJS是支持手机移动端的，支持手机、平板，移动端是H5页面的形式，页面是响应式布局设计，可以自适应移动端显示。并且可以通过二次开发，集成到APP中、微信小程序...
OJS是什么？OJS全称是Open Journal Systems，是一款用于学术期刊行业的期刊管理、论文投稿、稿件编审系统的软件。由加拿大西蒙弗雷泽大学团队研发，是全球使用最广泛的学术出版平台，是一个高度灵活的编辑作期刊管理和出版系统...
最近有客户在使用OJS系统时，在Issue中上传了整刊PDF，但是却打不开，显示空白，如图：错误代码提示：viewer.mjs:1Failed to load module script: Expected a JavaScript-o...
OJS期刊管理系统，导航栏可以在后台dashboard中自定义添加，如实现外部链接、自定义页面、二级菜单功能等（如图）。其中，OJS系统的导航菜单，也分为两种：一、OJS网站首页导航菜单。即OJS的网站首页（期刊索引页），相当于网站主页...
