危险！投稿系统存在越权漏洞，竟能随意撤销别人的论文！

三垣网安

2026年10月15日 10:00
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

PART 01

前言

你敢想象吗？自己辛辛苦苦投递出去的学术论文，不需要账号密码，别人改一串数字，就能直接帮你申请撤稿！

高校期刊投稿系统，本该守护作者稿件安全。可一处小小的权限校验缺失，就埋下巨大隐患。普通注册账号，抓包改个 ID，就能恶意撤销陌生人的投稿。

到底漏洞如何发生？会造成多大麻烦？平台又该怎么堵上这个致命漏洞？跟着案例往下看。

PART 02

案例复现

1、在该网站随意注册两个账号并分别投稿

2、在此处点击进入有撤稿，并且url存在id字段

3、抓取qwe稿件的撤稿流量，并将第一个流量包和第二个流量包的id修改

4、查看发现撤回qwe的界面变成了撤回123123的，撤回了另外一个账号的投稿，并成功发送了撤稿信息给后台

PART 03

漏洞危害

1. 业务干扰：攻击者利用该漏洞可恶意撤销其他作者的投稿稿件，扰乱期刊正常审稿流程，引发学术纠纷；
2. 数据风险：若同类型接口存在同类缺陷，可查看、修改他人投稿内容，造成稿件信息泄露、稿件数据被篡改；
3. 公信力受损：平台权限管控失效，作者对投稿系统失去信任，严重影响期刊平台声誉。

PART 04

修复建议

1. 增加后端资源归属校验：所有稿件操作接口（查看、编辑、撤稿、删除），后端拿到稿件 ID 后，校验当前登录用户与稿件提交人是否一致，不一致直接拒绝访问；
2. 输入参数校验：对前端传入的稿件 ID 参数做合法性校验，过滤无效、不存在的编号，不直接信任前端传递的参数；
3. 遵循最小权限原则：权限校验逻辑部署在服务端，禁止仅依靠前端隐藏按钮控制权限；
4. 完善日志审计：针对撤稿等高风险操作记录日志，保存操作账号、稿件 ID、操作时间，方便安全事件追溯。

点击关注三垣网安，学习更多网安知识

网络安全#网安知识#水平越权#漏洞实例