CVE-2026-27633 in TinyWeb
Sumário
de VulDB • 26/06/2026
TinyWeb é um servidor web (HTTP, HTTPS) escrito em Delphi para Win32. As versões anteriores à 2.02 possuem uma vulnerabilidade de Negação de Serviço (DoS) por exaustão de memória. Atacantes remotos não autenticados podem enviar uma requisição HTTP POST ao servidor com um cabeçalho `Content-Length` excepcionalmente grande (por exemplo, `2147483647`). O servidor aloca continuamente memória para o corpo da requisição (`EntityBody`) enquanto transmite a carga útil sem impor nenhum limite máximo, levando ao consumo de toda a memória disponível e causando a queda do servidor. Qualquer pessoa que hospede serviços usando TinyWeb é impactada. A versão 2.02 corrige o problema. O patch introduz um limite `CMaxEntityBodySize` (definido como 10MB) para o tamanho máximo das cargas úteis aceitas. Como uma solução alternativa temporária caso a atualização não seja imediatamente possível, considere colocar o servidor atrás de um Firewall de Aplicação Web (WAF) ou proxy reverso (como nginx ou Cloudflare) configurado para limitar explicitamente o tamanho máximo permitido do corpo da requisição HTTP (por exemplo, `client_max_body_size` no nginx).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.