CVE-2026-67185 in TinyWeb
Zusammenfassung
von VulDB • 28.07.2026
TinyWeb bis Version 0.0.8 enthält eine Path-Traversal-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, beliebige Dateien zu lesen, indem sie ../-Sequenzen im URL-Pfad eingeben. Diese werden in HttpBuilder::buildResponse() direkt mit dem konfigurierten Webroot verknüpft, ohne Normalisierung, Entfernung von Dot-Segments oder Grenzwertprüfungen. Angreifer können eine einzelne Anfrage mit ../-Sequenzen erstellen, die unverändert durch den URL-Parser gelangen und über HttpFile::setFile() den Dateisystemaufruf erreichen, wodurch sensible Dateien wie Credential Stores (Anmeldeinformationspeicher) und private Schlüssel offengelegt werden, wenn der Server-Prozess als root ausgeführt wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.