CVE-2026-27633

TinyWeb, Win32 için Delphi ile yazılmış bir web sunucusudur (HTTP, HTTPS). 2.02 sürümünden önceki versiyonlar, bellek tüketimi yoluyla Hizmet Reddi (DoS) zafiyetine sahiptir. Kimliği doğrulanmamış uzaktaki saldırganlar, sunucuya olağanüstü büyük bir `Content-Length` başlığına (örneğin `2147483647`) sahip bir HTTP POST isteği gönderebilir. Sunucu, herhangi bir maksimum sınır uygulamadan yükü aktarırken istek gövdesi (`EntityBody`) için sürekli bellek ayırır; bu durum mevcut tüm belleğin tüketilmesine ve sunucunun çökmesine neden olur. TinyWeb kullanarak hizmet veren herkes etkilenmektedir. 2.02 sürümü bu sorunu gidermektedir. Yama, kabul edilen yüklerin maksimum boyutu için bir `CMaxEntityBodySize` sınırı (10MB olarak belirlenmiş) getirmektedir. Güncellemenin hemen yapılamadığı durumlarda geçici bir çözüm olarak, sunucuyu izin verilen maksimum HTTP istek gövdesi boyutunu açıkça sınırlayacak şekilde yapılandırılmış bir Web Uygulama Güvenlik Duvarı (WAF) veya ters proxy (nginx veya Cloudflare gibi; örneğin nginx'te `client_max_body_size`) arkasına yerleştirmeyi değerlendirin.