文章总结： 本文记录了作者发现Google表单权限控制绕过漏洞的过程。当所有者禁止编辑者更改权限和共享时，编辑者本不应能发布表单。但作者通过浏览器开发者工具直接修改DOM元素，将禁用的发布按钮改为启用状态，成功绕过了前端限制并发布了表单。该漏洞已在11月7日被Google修复，但修复逻辑较为特殊。 综合评分： 70 文章分类： 漏洞分析,WEB安全,SRC活动

0117.我是如何发现 Google 表单漏洞的（重复内部漏洞 – 已修复）

原创

Qadhafy Muhammad Qadhafy Muhammad

Rsec

2026年1月15日 21:09 贵州

本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。

声明：本文搬运自互联网，如你是原作者，请联系我们！

类型：Google漏洞

Google 表单是一款简单易用的基于 Web 的应用程序，用于创建表单、调查问卷和测验。它可以帮助用户：

• 高效地收集信息或反馈
• 实时存储和分析结果
• 与他人安全地合作

我于 2025 年 11 月 1 日凌晨 12 点 24 分发现了谷歌表单的一个漏洞。当时我只是在做实验，试图找到谷歌产品中的一个漏洞。这个漏洞是在谷歌表单中发现的，请问这个漏洞的具体情况是什么？

在开始之前，让我先向大家介绍一下如何控制谁可以发布文件或表单。我发现的问题与编辑者可以更改权限和共享的设置有关。您可以在这里找到有关发布权限工作原理的更多详细信息。

https://support.google.com/docs/answer/183965?hl=en&co=GENIE.Platform%3DDesktop#zippy=%2Ccontrol-who-can-publish-a-file

概念验证

如果在编辑器视图中创建 Google 表单，并授予“拥有链接的任何人”访问权限，则编辑者在这种情况下可以执行两种操作：

1. 编辑者可以编辑、删除和发布表单。
2. 编辑者可以编辑和删除表单，但不能发布表单。

为什么这些条件会有所不同？ 这是由于“编辑可以更改权限和共享”选项的选中或取消选中状态造成的。

从下图可以看出，当“编辑者可以更改权限和共享”选项未选中时，它属于第二种情况：编辑者可以编辑表单，但不能发布它。

取消勾选“编辑者可以更改权限和共享”选项后，我复制了我创建的 Google 表单的 URL。当我将其粘贴到另一个 Chrome 账户并尝试发布时，发现：

“表单所有者已禁用分享功能”，并且发布按钮也被禁用。这是因为 Google 表单的所有者取消选中了 “编辑者可以更改权限和分享”选项。

我不是按钮的所有者，我该如何激活它？

启用按钮其实很简单。我只需在浏览器的“检查元素”中将按钮元素从“禁用”更改为“启用”即可。这样一来，我就能够绕过编辑者可以编辑和删除表单但不能发布表单的限制，从而即使我不是表单所有者，即使发布按钮最初是禁用的，我也可以发布 Google 表单。

Google 关闭了此漏洞报告，我的报告状态也被关闭了，可能是因为引发了太多的争论。

我记得，11月6日这个漏洞还没修复，但11月7日下午，他们就修复了，而且没有通知我。是我主动跟进的，所以他们才回复了我。

对于 Google 表单的更新，现在任何拥有链接的人都可以编辑和发布表单，即使“编辑者可以更改权限和共享”选项未选中或已选中。

我的意思是，当一个 Google 表单处于“编辑者可以更改权限和共享”选项未选中或选中，并且任何拥有链接的人都可以编辑和发布该表单时，我认为这种修复方式有点奇怪。

验证视频

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Rsec Qadhafy Muhammad Qadhafy Muhammad《0117.我是如何发现 Google 表单漏洞的（重复内部漏洞 – 已修复）》