CVE-2026-22781: Injeção de comando no sistema operacional via CGI no TinyWeb HTTP Server
A CVE-2026-22781 é uma falha de injeção de comando no sistema operacional no TinyWeb HTTP Server para Win32, em que parâmetros de consulta CGI são repassados como argumentos de linha de comando a um executável CGI. O registro indica que versões anteriores à 1.98 são afetadas e que o problema está corrigido na 1.98. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
TinyWeb é um servidor web para Win32 escrito em Delphi. Segundo o registro, versões do TinyWeb HTTP Server anteriores à 1.98 repassam parâmetros de consulta no estilo CGI ISINDEX como argumentos de linha de comando a um executável CGI por meio de CreateProcess(), o que pode levar a injeção de comandos no sistema operacional. A fraqueza é classificada como CWE-78 e a correção está indicada para a versão 1.98.
Impacto
- Segundo o registro, um atacante remoto não autenticado pode conseguir executar comandos arbitrários no servidor afetado.
- A pontuação base do NVD é 9,8 (crítica). O impacto técnico na avaliação SSVC está indicado como total.
- Como a execução de comandos ocorreria com os privilégios do processo do servidor web, confidencialidade, integridade e disponibilidade podem ser afetadas (inferência).
Produtos e versões afetados
- Maximmasiutin TinyWeb: versões anteriores à 1.98 são listadas como afetadas.
- Ritlabs Tinyweb: versões anteriores à 1.98 são listadas como afetadas.
- Versão corrigida indicada no registro: 1.98.
- Não é possível determinar, com as fontes consultadas, se outros forks, compilações ou implantações são afetados.
Status de exploração
O registro indica que este CVE não está listado no catálogo KEV da CISA. Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas. O registro informa probabilidade EPSS de 0,02438 e valor de exploração SSVC como nenhum.
Correção e mitigação
- Atualize o TinyWeb para a versão 1.98, indicada no aviso e no patch, ou para uma compilação que inclua a correção.
- Revise o commit de correção e o aviso GHSA-m779-84h5-72q2 para confirmar o trecho de código afetado.
- Se a atualização não puder ser aplicada de imediato, reduza a exposição limitando o acesso ao servidor web, desativando executáveis CGI desnecessários e executando o servidor com privilégios mínimos (inferência).
- Verifique se não restam manipuladores CGI inesperados em produção.
Orientações de detecção
- Analise os logs do servidor web em busca de requisições a endpoints CGI com caracteres incomuns relacionados a shell ou strings de consulta anormalmente longas.
- Monitore processos filhos inesperados iniciados pelo processo do TinyWeb, especialmente interpretadores de comandos.
- Compare executáveis CGI e binários do servidor com cópias confiáveis após qualquer atividade suspeita.
Limitações das informações disponíveis
- As fontes não trazem uma lista completa de compilações afetadas além dos limites indicados no registro.
- As fontes não descrevem o conjunto exato de caracteres ou estruturas de requisição testados.
- Não é possível saber se compilações de terceiros ou distribuições diferentes das citadas receberam a correção.
- Nenhuma exploração confirmada na natureza é documentada nas fontes consultadas.
Perguntas frequentes
Esta vulnerabilidade do TinyWeb está corrigida?
Segundo o registro, o problema está corrigido na versão 1.98, e o patch indicado é um commit no repositório do TinyWeb. Sistemas com versões anteriores à 1.98 devem ser revisados e atualizados.
Este CVE está sendo explorado ativamente?
O registro não o lista no KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Mesmo assim, a aplicação do patch deve ser priorizada devido à pontuação base crítica informada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.