CVE-2026-27633

Nome do Software Vulnerável e Versões Afetadas Versões do TinyWeb anteriores à 2.02

Descrição O TinyWeb é um servidor web escrito em Delphi para Win32. Versões anteriores à 2.02 estão suscetíveis a uma condição de Negação de Serviço (DoS) causada por esgotamento de memória. Um atacante remoto não autenticado pode enviar uma requisição HTTP POST para o servidor com um cabeçalho Content-Length muito grande, como 2147483647. O servidor aloca memória para o corpo da requisição (EntityBody) continuamente enquanto processa o payload, sem quaisquer restrições de tamanho. Isso leva ao consumo de toda a memória disponível, causando finalmente a queda do servidor. Qualquer serviço hospedado usando o TinyWeb é potencialmente impactado. O problema é resolvido na versão 2.02, que introduz um limite CMaxEntityBodySize de 10MB para payloads recebidos.

Recomendações Versões anteriores à 2.02 devem ser atualizadas para a versão 2.02 ou posterior. Como solução temporária, caso a atualização não seja possível imediatamente, considere colocar o servidor atrás de um Web Application Firewall (WAF) ou proxy reverso (como nginx ou Cloudflare) configurado para limitar o tamanho máximo permitido do corpo da requisição HTTP (por exemplo, client max body size no nginx).