Podatności Tornado
4 znanych podatności CVE w Tornado, przetłumaczonych i ocenionych.
- CVE-2026-49855Wysokie
Podatność w Tornado przed wersją 6.5.6 pozwala na nieograniczone dekompresowanie danych gzip, co może prowadzić do wyczerpania pamięci przez złośliwy serwer lub klienta SimpleAsyncHTTPClient.
- CVE-2026-49854Średnie
W Tornado przed wersją 6.5.6, opcjonalne natywne rozszerzenie tornado.speedups implementowało funkcję websocket_mask bez walidacji, czy argument mask ma dokładnie cztery bajty. Pozwala to funkcji C na odczytanie do trzech bajtów poza dostarczonym buforem podczas dekodowania tokena XSRF, gdy natywne rozszerzenie jest aktywne.
- CVE-2026-49853Wysokie
W Tornado przed wersją 6.5.6, SimpleAsyncHTTPClient podczas przekierowań HTTP wykonywał płytką kopię żądania i usuwał jedynie nagłówek Host, pozostawiając nagłówki autoryzacyjne (Authorization, auth_username, auth_password, auth_mode) w przypadku zmiany schematu, hosta lub portu. Luka została naprawiona w wersji 6.5.6.
- CVE-2026-35536Wysokie
W Tornado przed wersją 6.5.5, możliwe było wstrzyknięcie atrybutów ciasteczka, ponieważ argumenty domain, path i samesite w metodzie .RequestHandler.set_cookie nie były sprawdzane pod kątem spreparowanych znaków.