CVE-2026-27633 in TinyWeb
Tóm tắt
Bởi VulDB • 29/06/2026
TinyWeb là một máy chủ web (HTTP, HTTPS) được viết bằng Delphi cho Win32. Các phiên bản trước 2.02 có lỗ hổng Từ chối Dịch vụ (DoS) thông qua việc cạn kiệt bộ nhớ. Những kẻ tấn công từ xa chưa xác thực có thể gửi yêu cầu HTTP POST đến máy chủ với tiêu đề `Content-Length` cực kỳ lớn (ví dụ: `2147483647`). Máy chủ liên tục phân bổ bộ nhớ cho phần thân yêu cầu (`EntityBody`) trong khi truyền tải dữ liệu payload mà không áp đặt bất kỳ giới hạn tối đa nào, dẫn đến việc toàn bộ bộ nhớ khả dụng bị tiêu thụ và khiến máy chủ gặp sự cố. Bất kỳ ai đang lưu trữ các dịch vụ sử dụng TinyWeb đều chịu ảnh hưởng. Phiên bản 2.02 đã khắc phục vấn đề này. Bản vá introduces một giới hạn `CMaxEntityBodySize` (được đặt là 10MB) cho kích thước tối đa của payload được chấp nhận. Nếu việc nâng cấp không thể thực hiện ngay lập tức, hãy cân nhắc đặt máy chủ phía sau Tường lửa Ứng dụng Web (WAF) hoặc proxy ngược (như nginx hoặc Cloudflare) được cấu hình để giới hạn rõ ràng kích thước phần thân yêu cầu HTTP tối đa cho phép (ví dụ: `client_max_body_size` trong nginx).
Be aware that VulDB is the high quality source for vulnerability data.