近期丁老师在对OJS期刊系统进行等保工作时，发现OJS一个安全漏洞，即任意文件上传漏洞，具体内容如下。
漏洞描述
任意文件上传漏洞（Unrestricted File Upload），是一种常见的Web安全漏洞，由于Web应用程序在实现文件上传功能时对上传的文件缺少必要的检查，使得攻击者可上传任意文件。利用该漏洞，攻击者可以直接上传Webshell（WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称之为一种网页后门）、病毒、恶意脚本等各种危险文件，可能导致服务器权限被直接获取，从而危及整个系统的安全运行。
测试过程
点击投稿系统，选择文件上传，可以上传任意文件，但是脚本文件会被替换成txt.但是可以上传html文件，造成xss，Url如下：
index.php/is/api/v1/submissions/202/files关键特征
解决方案
1、对用户上传的文件类型采用白名单进行限制，且重命名文件名。
2、限定文件上传目录，且该目录不允许解析动态脚本文件。
3、更新Web服务器版本并进行正确配置，防止解析漏洞。
针对上述解决方案，如需专业技术修复，可以联系丁老师咨询。
有使用OJS（OpenJournalSystem）期刊系统的客户反应，在浏览和审阅文章时，点击pdf下载不了，出现了404错误，是怎么回事呢？这个问题不仅仅限于文章的PDF文件，包含WORD的DOC文件、TXT文件等也出现了这种情况。收...
几乎每天都有新客咨询，OJS是什么，OJS能用来做什么呢？今天丁老师就做一个关于OJS完整的介绍。OJS是什么？OJS全称为OpenJournalSystem，既开放期刊管理系统。是一款开源软件，主要是用于学术行业的期刊/杂志管理、论文...
OJS系统介绍OJS系统（OpenJournalSystem），是全球优秀顶尖的期刊管理系统，因其软件免费、界面友好、功能强大，包含了从期刊管理-文章投稿-同行评审-文章发布-数据库收录的全部工作流程。目前全球有超过4万本期刊在使用，是...
根据从OJS官网PKP获取的信息显示，最新版本的OJS3.5.0rc2版本已发布。丁老师第一时间下载并进行了安装测试。截至目前，已知有2个改动：1.设置-设置站点-设置向导/用户流程;2.增加期刊设置-用户角色-邀请功能;OJS3.5....
