CVE-2026-67185
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
TinyWeb do wersji 0.0.8 zawiera podatność na path traversal, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie sekwencji ../ w ścieżce URL. Ścieżka jest konkatenowana bez normalizacji, usuwania segmentów kropek ani sprawdzania granic. Atakujący może ujawnić wrażliwe pliki, takie jak magazyny poświadczeń i klucze prywatne, gdy serwer działa jako root.
Ocena ryzyka
Atakujący może odczytać dowolne pliki na serwerze, w tym poufne dane uwierzytelniające i klucze prywatne, co prowadzi do naruszenia poufności i może umożliwić dalsze ataki.
Rekomendacja
Należy zaktualizować TinyWeb do wersji powyżej 0.0.8, która zawiera poprawkę normalizacji ścieżek i usuwania segmentów kropek.
Inne podatności w TinyWeb
Zobacz wszystkie- CVE-2026-22781Krytyczne
TinyWeb HTTP Server przed wersją 1.98 jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez parametry zapytania CGI w stylu ISINDEX. Parametry są przekazywane jako argumenty wiersza poleceń do pliku wykonywalnego CGI przez Windows CreateProcess(). Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia na serwerze, wstrzykując metaznaki powłoki Windows do żądań HTTP. Luka została naprawiona w wersji 1.98.
- CVE-2026-67184Wysokie
TinyWeb do wersji 0.0.8 zawiera podatność na dereferencję wskaźnika NULL, która pozwala nieuwierzytelnionym atakującym zdalnym na crashowanie procesów roboczych poprzez wysłanie zniekształconej linii żądania HTTP z nieprawidłowym ciągiem wersji. Funkcja HttpParser::execute() nie alokuje obiektu Url, a buildResponse() dereferencjonuje wskaźnik NULL bez sprawdzania flagi valid_requ, powodując SIGSEGV i trwałe wyłączenie serwera po powtórzeniu na wszystkich procesach.
- CVE-2026-67183Wysokie
TinyWeb do wersji 0.0.8 zawiera podatność na wyciek pamięci, która pozwala nieuwierzytelnionym atakującym na wyczerpanie dostępnej pamięci poprzez wysyłanie zwykłych, poprawnie sformułowanych żądań HTTP. Każde żądanie powoduje alokację obiektów Url, HttpHeaders i HttpHeader za pomocą operatora new, które nigdy nie są zwalniane z powodu braku destruktorów i nieosiągalnych wywołań delete. Powoduje to monotoniczny wzrost pamięci procesu roboczego o około 20-28 kB na żądanie, aż do zabicia procesu.
Oryginalny opis (angielski, źródło NVD)
TinyWeb through 0.0.8 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by submitting ../ sequences in the URL path, which are concatenated directly to the configured web root in HttpBuilder::buildResponse() without normalization, dot-segment removal, or boundary checks. Attackers can craft a single request with ../ sequences that pass through the URL parser unchanged and reach the filesystem call via HttpFile::setFile(), exposing sensitive files such as credential stores and private keys when the server process runs as root.