CVE-2026-67185 in TinyWeb
Riassunto
di VulDB • 28/07/2026
TinyWeb fino alla versione 0.0.8 contiene una vulnerabilità di path traversal che consente agli attaccanti non autenticati di leggere file arbitrari inviando sequenze ../ nel percorso dell'URL, le quali vengono concatenate direttamente alla radice web configurata in HttpBuilder::buildResponse() senza normalizzazione, rimozione dei segmenti punto o controlli di confine. Gli attaccanti possono creare una singola richiesta con sequenze ../ che passano attraverso il parser URL immutate e raggiungono la chiamata al filesystem tramite HttpFile::setFile(), esponendo file sensibili come archivi delle credenziali e chiavi private quando il processo del server viene eseguito come root.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.