CVE-2026-27613: Injeção de Parâmetros CGI no TinyWeb via Bypass de STRICT_CGI_PARAMS
A CVE-2026-27613 é uma falha de injeção de parâmetros CGI no TinyWeb, em versões anteriores à 2.01, que permite a atacantes remotos não autenticados contornar as proteções de parâmetros CGI do servidor. Conforme a configuração e o executável CGI utilizado, o resultado pode ser divulgação de código-fonte ou execução remota de código. O registro indica que a correção está na 2.01, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O TinyWeb é um servidor web para HTTP e HTTPS escrito em Delphi para Win32. Segundo o registro da CVE, a CVE-2026-27613 permite que atacantes remotos não autenticados contornem as proteções de parâmetros CGI do servidor, ligadas no registro a STRICT_CGI_PARAMS e EscapeShellParam. A fraqueza é classificada como injeção de comando no sistema operacional (CWE-78).
Impacto
- Conforme a configuração do servidor e o executável CGI em uso, o impacto pode ser divulgação de código-fonte ou execução remota de código.
- Sites que hospedam scripts CGI, especialmente em linguagens interpretadas como PHP, são descritos como afetados quando executam versões vulneráveis.
- A pontuação base CVSS da NVD é 9,8 (crítica). O GitHub atribui pontuação 10 pela escala CVSS mais recente.
Produtos e versões afetadas
- Maximmasiutin TinyWeb: versões anteriores à 2.01.
- Ritlabs Tinyweb: versões anteriores à 2.01.
- O registro informa que o problema foi corrigido na 2.01.
Status de exploração
O CVE não consta na lista KEV da CISA. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como yes. A probabilidade EPSS é 0,01534, com percentil de 0,74638.
Correção e mitigação
- Atualize para a versão corrigida 2.01 o quanto antes.
- Se a atualização imediata não for possível, verifique se STRICT_CGI_PARAMS está habilitado. O registro informa que ele é definido por padrão em define.inc.
- Evite executáveis CGI que aceitem nativamente flags perigosas de linha de comando, como php-cgi.exe.
- Em hospedagem de PHP, considere um Web Application Firewall que bloqueie parâmetros de query string iniciados por hífen ou que contenham aspas duplas codificadas.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições CGI com parâmetros de query string incomuns, como valores iniciados por hífen ou com aspas codificadas.
- Monitore processos filhos inesperados iniciados pelo processo do servidor web e respostas que exponham o código do script.
- Faça o inventário das instâncias de TinyWeb e de suas versões, incluindo implantações legadas ou embarcadas.
Limitações das informações disponíveis
- O registro não fornece assinaturas de detecção nem indicadores de comprometimento.
- O registro não detalha o funcionamento do bypass além do título e da descrição, portanto as condições exatas de cada resultado são desconhecidas.
- O impacto depende do executável CGI e da configuração, que não são especificados para nenhuma implantação em particular.
Perguntas frequentes
Quais versões do TinyWeb são afetadas pela CVE-2026-27613?
O registro lista como afetadas as versões anteriores à 2.01 do Maximmasiutin TinyWeb e do Ritlabs Tinyweb. O problema é indicado como corrigido na 2.01.
Esta CVE é conhecida por ser explorada na prática?
A CVE não consta na lista KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro marcam a exploração como none.
O que fazer se a atualização imediata não for possível?
O registro sugere verificar se STRICT_CGI_PARAMS está habilitado, evitar executáveis CGI que aceitem flags perigosas de linha de comando e considerar um Web Application Firewall em hospedagens de PHP.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.