CVE-2024-33113

D-LINK DIR-845L es vulnerable a la divulgación de información a través del archivo bsc_sms_inbox.php.

CVE-2024-33113 es una vulnerabilidad en el router D-LINK DIR-845L que permite la divulgación de información a través del archivo bsc_sms_inbox.php. La vulnerabilidad surge del manejo inadecuado de la función include(), que puede explotarse manipulando la variable $file. Esto permite a los atacantes incluir scripts PHP arbitrarios y potencialmente recuperar información sensible, como el nombre de usuario y la contraseña del router.

PoC

http://IP:8080/getcfg.php?a=%0A_POST_SERVICES=DEVICE.ACCOUNT%0AAUTHORIZED_GROUP=1