CVE-2026-27633

TinyWeb, Win32 üçün Delphi dilində yazılmış veb serverdir (HTTP, HTTPS). Versiya 2.02-dən əvvəlki versiyalarda yaddaşın tükənməsi vasitəsilə Xidmətdən İmtina (DoS) zəifliyi mövcuddur. Autentifikasiya olunmamış uzaq hücumçular serverə hədsiz dərəcədə böyük `Content-Length` başlığına (məsələn, `2147483647`) malik HTTP POST sorğusu göndərə bilərlər. Server hər hansı maksimum limiti tətbiq etmədən faydalı yükü axınlaşdırarkən sorğu gövdəsi (`EntityBody`) üçün davamlı olaraq yaddaş ayırır ki, bu da bütün mövcud yaddaşın istifadə edilməsinə və serverin çökməsinə səbəb olur. TinyWeb istifadə edərək xidmətləri host edən hər kəs bu problemdən təsirlənir. Versiya 2.02 problemi aradan qaldırır. Yamaq, qəbul edilən faydalı yüklərin maksimum ölçüsü üçün `CMaxEntityBodySize` limitini (10MB olaraq təyin edilmişdir) tətbiq edir. Təkmilləşdirmə dərhal mümkün deyilsə, müvəqqəti həll yolu kimi serveri, maksimal icazə verilən HTTP sorğu gövdəsinin ölçüsünü açıq şəkildə məhdudlaşdıran (məsələn, nginx-də `client_max_body_size`) Veb Tətbiqlər Firewall-u (WAF) və ya reverse proxy (nginx və ya Cloudflare kimi) arxasında yerləşdirməyi nəzərdən keçirin.