浙江大华技术股份有限公司是领先的监控产品供应商和解决方案服务商。 浙江大华技术股份有限公司DSS配置系统存在逻辑缺陷漏洞，攻击者可利用该漏洞重置配置系统密码，获取敏感信息。

该漏洞复现方式类似于CNVD-2021-51924，只不过本漏洞针对配置系统（http(s)://IP:PORT/config）。

DSS系统存在逻辑缺陷，对于未设置配置系统密保问题的DSS配置系统，攻击者可任意填写密保问题答案从而重置配置系统密码，进而重置DSS系统密码，获取摄像头管理权限。

复现过程

http(s)://IP:PORT/config/user_toLoginPage.action

打开连接后随意输入用户名和密码，点击登录，提示用户名或密码错误，并且出现忘了密码选项，单击忘了密码：

此界面随便输入问题答案，并提交：

发现已经转跳到修改密码的界面

修改密码后成功登录后台，并且可以修改DSS系统密码

- source:flyd.uk