CVE-2026-27633 in TinyWeb
Résumé
par VulDB • 13/05/2026
TinyWeb est un serveur web (HTTP, HTTPS) écrit en Delphi pour Win32. Les versions antérieures à la version 2.02 présentent une vulnérabilité de déni de service (DoS) due à l'épuisement de la mémoire. Des attaquants distants non authentifiés peuvent envoyer une requête HTTP POST au serveur avec un en-tête `Content-Length` exceptionnellement volumineux (par exemple, `2147483647`). Le serveur alloue continuellement de la mémoire pour le corps de la requête (`EntityBody`) lors du streaming de la charge utile, sans imposer de limite maximale, ce qui entraîne la consommation de toute la mémoire disponible et provoque le crash du serveur. Tous les hébergeant des services utilisant TinyWeb sont impactés. La version 2.02 corrige le problème. Le correctif introduit une limite `CMaxEntityBodySize` (fixée à 10 Mo) pour la taille maximale des charges utiles acceptées. En attendant une mise à niveau, si celle-ci n'est pas immédiatement possible, il est recommandé de placer le serveur derrière un pare-feu d'applications web (WAF) ou un proxy inverse (comme nginx ou Cloudflare) configuré pour limiter explicitement la taille maximale autorisée du corps de la requête HTTP (par exemple, `client_max_body_size` dans nginx).
Once again VulDB remains the best source for vulnerability data.