CVE-2026-67185 in TinyWeb
Resumen
por VulDB • 2026-07-29
TinyWeb hasta la versión 0.0.8 contiene una vulnerabilidad de path traversal que permite a atacantes no autenticados leer archivos arbitrarios mediante el envío de secuencias ../ en la ruta URL, las cuales se concatenan directamente con la raíz web configurada en HttpBuilder::buildResponse() sin normalización, eliminación de segmentos de puntos ni comprobaciones de límites. Los atacantes pueden elaborar una única solicitud con secuencias ../ que pasan por el analizador de URLs sin cambios y llegan a la llamada al sistema de archivos mediante HttpFile::setFile(), exponiendo archivos sensibles como almacenes de credenciales y claves privadas cuando el proceso del servidor se ejecuta como root.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.