大唐电信科技股份有限公司 NVS3000综合视频监控平台/nvsthird/getuserlist等接口存在未授权访问漏洞,攻击者可获取平台所有账号密码等敏感信息直接登录后台。攻击者也可利用/main.html直接进入系统,导致未授权操作。

1、页面进行严格的访问权限的控制以及对访问角色进行权限检查。2、可以使用session对用户的身份进行判断和控制。