CVE-2026-27630 in TinyWeb
Сводка
по VulDB • 13.05.2026
TinyWeb — это веб-сервер (HTTP, HTTPS), написанный на Delphi для Win32. Версии старше 2.02 уязвимы к атаке на отказ в обслуживании (DoS), известной как Slowloris. Сервер создает новый поток операционной системы для каждого входящего соединения без установления максимального предела параллельных соединений или соответствующего тайм-аута запроса. Неавторизованный удаленный злоумышленник может исчерпать лимиты параллельных соединений и память сервера, открывая множество соединений и отправляя данные с экстремально низкой скоростью (например, 1 байт каждые несколько минут). Затрагиваются все, кто размещает сервисы на базе TinyWeb. Версия 2.02 устраняет проблему. Патч вводит ограничение `CMaxConnections` (установлено на 512) и тайм-аут неактивности `CConnectionTimeoutSecs` (установлен на 30 секунд). В качестве временного обходного пути, если немедленное обновление невозможно, рекомендуется разместить сервер за надежным обратным прокси-сервером или межсетевым экраном веб-приложений (WAF), таким как nginx, HAProxy или Cloudflare, настроенным на буферизацию незавершенных запросов и агрессивное применение ограничений соединений и тайм-аутов.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.