CVE-2026-67184
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
TinyWeb do wersji 0.0.8 zawiera podatność na dereferencję wskaźnika NULL, która pozwala nieuwierzytelnionym atakującym zdalnym na crashowanie procesów roboczych poprzez wysłanie zniekształconej linii żądania HTTP z nieprawidłowym ciągiem wersji. Funkcja HttpParser::execute() nie alokuje obiektu Url, a buildResponse() dereferencjonuje wskaźnik NULL bez sprawdzania flagi valid_requ, powodując SIGSEGV i trwałe wyłączenie serwera po powtórzeniu na wszystkich procesach.
Ocena ryzyka
Atakujący może spowodować trwałe wyłączenie serwera (DoS), co uniemożliwia dostęp do usługi i wymaga ręcznego restartu, powodując znaczące przestoje.
Rekomendacja
Należy zaktualizować TinyWeb do wersji powyżej 0.0.8, która zawiera poprawkę sprawdzania poprawności wersji i obsługi błędów alokacji.
Inne podatności w TinyWeb
Zobacz wszystkie- CVE-2026-22781Krytyczne
TinyWeb HTTP Server przed wersją 1.98 jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez parametry zapytania CGI w stylu ISINDEX. Parametry są przekazywane jako argumenty wiersza poleceń do pliku wykonywalnego CGI przez Windows CreateProcess(). Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia na serwerze, wstrzykując metaznaki powłoki Windows do żądań HTTP. Luka została naprawiona w wersji 1.98.
- CVE-2026-67185Wysokie
TinyWeb do wersji 0.0.8 zawiera podatność na path traversal, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie sekwencji ../ w ścieżce URL. Ścieżka jest konkatenowana bez normalizacji, usuwania segmentów kropek ani sprawdzania granic. Atakujący może ujawnić wrażliwe pliki, takie jak magazyny poświadczeń i klucze prywatne, gdy serwer działa jako root.
- CVE-2026-67183Wysokie
TinyWeb do wersji 0.0.8 zawiera podatność na wyciek pamięci, która pozwala nieuwierzytelnionym atakującym na wyczerpanie dostępnej pamięci poprzez wysyłanie zwykłych, poprawnie sformułowanych żądań HTTP. Każde żądanie powoduje alokację obiektów Url, HttpHeaders i HttpHeader za pomocą operatora new, które nigdy nie są zwalniane z powodu braku destruktorów i nieosiągalnych wywołań delete. Powoduje to monotoniczny wzrost pamięci procesu roboczego o około 20-28 kB na żądanie, aż do zabicia procesu.
Oryginalny opis (angielski, źródło NVD)
TinyWeb through 0.0.8 contains a null pointer dereference vulnerability that allows unauthenticated remote attackers to crash worker processes by sending a malformed HTTP request line with an invalid version string. The HttpParser::execute() function fails to allocate the Url object when version parsing fails, leaving the url pointer NULL, and buildResponse() subsequently dereferences this NULL pointer without checking the valid_requ flag, producing a SIGSEGV that terminates the worker process and, when repeated across all workers, takes the server permanently offline until manually restarted.