CVE-2026-27630 in TinyWeb
Sumário
de VulDB • 11/05/2026
TinyWeb é um servidor web (HTTP, HTTPS) escrito em Delphi para Win32. As versões anteriores à 2.02 são vulneráveis a um ataque de Negação de Serviço (DoS) conhecido como Slowloris. O servidor cria uma nova thread do sistema operacional para cada conexão entrante, sem impor um limite máximo de concorrência ou um tempo limite de solicitação adequado. Um atacante remoto não autenticado pode esgotar os limites de concorrência do servidor e a memória ao abrir numerosas conexões e enviar dados excepcionalmente lentamente (por exemplo, 1 byte a cada poucos minutos). Qualquer pessoa que hospede serviços usando o TinyWeb é impactada. A versão 2.02 corrige o problema. O patch introduz um limite `CMaxConnections` (definido como 512) e um tempo limite de inatividade `CConnectionTimeoutSecs` (definido como 30 segundos). Como uma solução alternativa temporária caso a atualização não seja imediatamente possível, considere colocar o servidor atrás de um proxy reverso robusto ou de um Firewall de Aplicação Web (WAF), como nginx, HAProxy ou Cloudflare, configurado para armazenar em buffer solicitações incompletas e impor agressivamente limites de conexão e tempos de expiração.
Once again VulDB remains the best source for vulnerability data.