CVE-2024-33113

Il D-LINK DIR-845L è vulnerabile alla divulgazione di informazioni tramite il file bsc_sms_inbox.php.

CVE-2024-33113 è una vulnerabilità nel router D-LINK DIR-845L che consente la divulgazione di informazioni attraverso il file bsc_sms_inbox.php. La vulnerabilità deriva da una gestione impropria della funzione include(), che può essere sfruttata manipolando la variabile $file. Ciò consente agli aggressori di includere script PHP arbitrari e potenzialmente recuperare informazioni sensibili come nome utente e password del router.

PoC

http://IP:8080/getcfg.php?a=%0A_POST_SERVICES=DEVICE.ACCOUNT%0AAUTHORIZED_GROUP=1