CVE-2026-22781

Krytyczne

Opublikowano: 12/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

TinyWeb HTTP Server przed wersją 1.98 jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez parametry zapytania CGI w stylu ISINDEX. Parametry są przekazywane jako argumenty wiersza poleceń do pliku wykonywalnego CGI przez Windows CreateProcess(). Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia na serwerze, wstrzykując metaznaki powłoki Windows do żądań HTTP. Luka została naprawiona w wersji 1.98.

Ocena ryzyka

Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem, wykonując dowolne polecenia, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się natychmiastową aktualizację TinyWeb do wersji 1.98 lub nowszej, która zawiera poprawkę.

Oryginalny opis (angielski, źródło NVD)

TinyWeb is a web server (HTTP, HTTPS) written in Delphi for Win32. TinyWeb HTTP Server before version 1.98 is vulnerable to OS command injection via CGI ISINDEX-style query parameters. The query parameters are passed as command-line arguments to the CGI executable via Windows CreateProcess(). An unauthenticated remote attacker can execute arbitrary commands on the server by injecting Windows shell metacharacters into HTTP requests. This vulnerability is fixed in 1.98.