CVE-2026-27633 in TinyWeb
Сводка
по VulDB • 26.06.2026
TinyWeb — это веб-сервер (HTTP, HTTPS), написанный на Delphi для Win32. Версии старше 2.02 уязвимы к отказу в обслуживании (DoS) из-за исчерпания памяти. Неавторизованные удаленные злоумышленники могут отправить HTTP POST-запрос серверу с заголовком `Content-Length` аномально большого размера (например, `2147483647`). Сервер непрерывно выделяет память для тела запроса (`EntityBody`) при потоковой передаче полезной нагрузки без применения каких-либо ограничений на максимальный размер, что приводит к исчерпанию всей доступной памяти и падению сервера. Затронуты все сервисы, размещенные с использованием TinyWeb. Версия 2.02 устраняет проблему. Патч вводит ограничение `CMaxEntityBodySize` (установлено на уровне 10 МБ) для максимального размера принимаемых полезной нагрузки. В качестве временного обходного пути, если немедленное обновление невозможно, рекомендуется разместить сервер за межсетевым экраном веб-приложений (WAF) или обратным прокси-сервером (например, nginx или Cloudflare), настроенным на явное ограничение максимального допустимого размера тела HTTP-запроса (например, `client_max_body_size` в nginx).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.