CVE-2026-27633 in TinyWeb
الملخص
بحسب VulDB • 29/06/2026
TinyWeb هو خادم ويب (HTTP، HTTPS) مكتوب بلغة Delphi لنظام Win32. تحتوي الإصدارات السابقة للإصدار 2.02 على ثغرة تسبب حجب الخدمة (DoS) عبر استنفاد الذاكرة. يمكن للمهاجمين عن بُعد غير المصادق عليهم إرسال طلب HTTP POST إلى الخادم مع رأس `Content-Length` كبير بشكل استثنائي (على سبيل المثال، `2147483647`). يقوم الخصاص بتخصيص ذاكرة باستمرار لجسم الطلب (`EntityBody`) أثناء تدفق الحمولة دون فرض أي حد أقصى للقياس، مما يؤدي إلى استهلاك كل الذاكرة المتاحة وتسبب انهيار الخادم. يتأثر الجميع الذين يستضيفون خدمات باستخدام TinyWeb. يصحّح الإصدار 2.02 هذه المشكلة. يقدم التصحيح حدًا لـ `CMaxEntityBodySize` (مضبوط على 10 ميجابايت) للحد الأقصى لحجم الحمولات المقبولة. كحل بديل مؤقت إذا لم يكن الترقية ممكنة فوراً، ضع الخادم خلف جدار حماية لتطبيقات الويب (WAF) أو وكيل عكسي (مثل nginx أو Cloudflare) مضبوط ليقيد صراحة الحد الأقصى المسموح به لحجم جسم طلب HTTP (على سبيل المثال `client_max_body_size` في nginx).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.