PT-2026-22039
CVE-2026-27633
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-03-03
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TinyWeb الأقدم من 2.02
الوصف
TinyWeb هو خادم ويب مكتوب بلغة Delphi لنظام Win32. الإصدارات الأقدم من 2.02 معرضة لحالة «رفض الخدمة» (DoS) ناتجة عن استنفاد الذاكرة. يمكن لمهاجم عن بُعد غير مصدق إرساله طلب HTTP POST إلى الخادم مع رأس
Content-Length كبير جدًا، مثل 2147483647. يقوم الخادم بتخصيص الذاكرة لنص الطلب (EntityBody) بشكل مستمر أثناء معالجة الحمولة، دون أي قيود على الحجم. يؤدي ذلك إلى استهلاك كل الذاكرة المتاحة، مما يتسبب في النهاية في تعطل الخادم. أي خدمة مستضافة باستخدام TinyWeb معرضة للتأثر بهذه الثغرة. تم حل المشكلة في الإصدار 2.02، الذي أدخل حدًا أقصى CMaxEntityBodySize يبلغ 10 ميغابايت للحمولات المستلمة.التوصيات
يجب تحديث الإصدارات الأقدم من 2.02 إلى الإصدار 2.02 أو أحدث. كحل مؤقت، في حالة تعذر التحديث على الفور، يُنصح بوضع الخادم خلف جدار حماية تطبيقات الويب (WAF) أو وكيل عكسي (مثل nginx أو Cloudflare) مُهيأ للحد من الحجم الأقصى المسموح به لجسم طلب HTTP (على سبيل المثال،
client max body size في nginx).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾