CVE-2024-33113

Маршрутизатор D-LINK DIR-845L уязвим к раскрытию информации через файл bsc_sms_inbox.php.

CVE-2024-33113 — это уязвимость в маршрутизаторе D-LINK DIR-845L, которая позволяет раскрывать информацию через файл bsc_sms_inbox.php. Уязвимость возникает из-за некорректной обработки функции include(), которая может быть использована путем манипуляции переменной $file. Это позволяет злоумышленникам включать произвольные PHP-скрипты и потенциально извлекать конфиденциальную информацию, такую как имя пользователя и пароль маршрутизатора.

PoC

http://IP:8080/getcfg.php?a=%0A_POST_SERVICES=DEVICE.ACCOUNT%0AAUTHORIZED_GROUP=1