CVE-2026-49853
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Tornado przed wersją 6.5.6, SimpleAsyncHTTPClient podczas przekierowań HTTP wykonywał płytką kopię żądania i usuwał jedynie nagłówek Host, pozostawiając nagłówki autoryzacyjne (Authorization, auth_username, auth_password, auth_mode) w przypadku zmiany schematu, hosta lub portu. Luka została naprawiona w wersji 6.5.6.
Ocena ryzyka
Organizacja narażona jest na wyciek danych uwierzytelniających do nieuprawnionych serwerów podczas przekierowań, co może prowadzić do przejęcia kont lub dostępu do chronionych zasobów.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Tornado do wersji 6.5.6 lub nowszej, która usuwa podatność.
Inne podatności w Tornado
Zobacz wszystkie- CVE-2026-49855Wysokie
Podatność w Tornado przed wersją 6.5.6 pozwala na nieograniczone dekompresowanie danych gzip, co może prowadzić do wyczerpania pamięci przez złośliwy serwer lub klienta SimpleAsyncHTTPClient.
- CVE-2026-49854Średnie
W Tornado przed wersją 6.5.6, opcjonalne natywne rozszerzenie tornado.speedups implementowało funkcję websocket_mask bez walidacji, czy argument mask ma dokładnie cztery bajty. Pozwala to funkcji C na odczytanie do trzech bajtów poza dostarczonym buforem podczas dekodowania tokena XSRF, gdy natywne rozszerzenie jest aktywne.
- CVE-2026-35536Wysokie
W Tornado przed wersją 6.5.5, możliwe było wstrzyknięcie atrybutów ciasteczka, ponieważ argumenty domain, path i samesite w metodzie .RequestHandler.set_cookie nie były sprawdzane pod kątem spreparowanych znaków.
Oryginalny opis (angielski, źródło NVD)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.5.6, SimpleAsyncHTTPClient shallow-copied redirected requests and removed only the Host header, leaving Authorization, auth_username, auth_password, and auth_mode in place when a redirect changed scheme, host, or port. This issue is fixed in version 6.5.6.