CVE-2026-22781

Command injection w TinyWeb HTTP Server via parametry CGI ISINDEX

CVSS 10.0v4.0pub. 2026-01-12upd. 2026-01-16

TinyWeb HTTP Server w wersjach przed 1.98 jest podatny na OS command injection poprzez parametry zapytania CGI w stylu ISINDEX. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia systemowe na serwerze, co czyni tę podatność krytyczną.

▸ Pokaż oryginał (EN)

TinyWeb is a web server (HTTP, HTTPS) written in Delphi for Win32. TinyWeb HTTP Server before version 1.98 is vulnerable to OS command injection via CGI ISINDEX-style query parameters. The query parameters are passed as command-line arguments to the CGI executable via Windows CreateProcess(). An unauthenticated remote attacker can execute arbitrary commands on the server by injecting Windows shell metacharacters into HTTP requests. This vulnerability is fixed in 1.98.

🤖 Analiza AI

Jak działa

Parametry zapytania HTTP (query parameters) w stylu ISINDEX są przekazywane bezpośrednio jako argumenty wiersza poleceń do wykonywalnego pliku CGI za pośrednictwem funkcji Windows CreateProcess(). Atakujący może wstrzyknąć specjalne metaznaki powłoki Windows (shell metacharacters) do żądania HTTP, co prowadzi do wykonania niezamierzonych poleceń systemu operacyjnego. Podatność nie wymaga uwierzytelnienia ani żadnej interakcji po stronie użytkownika.

Skutki

Atakujący może wykonać dowolne polecenia na serwerze z uprawnieniami procesu TinyWeb, potencjalnie uzyskując pełną kontrolę nad systemem operacyjnym oraz zasobami wewnętrznymi.

Mitygacja

Należy zaktualizować TinyWeb do wersji 1.98, w której podatność została naprawiona. Patch dostępny jest w repozytorium projektu na GitHub (commit 876b7e2).

Kogo dotyczy

Ritlabs TinyWeb HTTP Server w wersjach przed 1.98 (serwer działający na platformie Win32)

Uwagi

Podatność została naprawiona w wersji 1.98. Szczegóły techniczne oraz advisory dostępne są w repozytorium GitHub projektu oraz na stronie autora masiutin.net.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X