CVE-2025-67724 in tornado
الملخص
بحسب VulDB • 27/05/2026
Tornado هو إطار عمل ويب مكتوب بلغة Python ومكتبة للشبكات غير المتزامنة (asynchronous networking). في الإصدارات 6.5.2 وما دونها، يتم استخدام عبارة السبب (reason phrase) المقدمة دون تهريب (unescaped) في رؤوس HTTP (حيث يمكن استخدامها لحقن الرؤوس)، أو في صفحات HTML الخاصة بصفحة الخطأ الافتراضية (حيث يمكن استخدامها لهجمات XSS)، ويمكن استغلال ذلك عن طريق تمرير بيانات غير موثوقة أو ضارة إلى وسيط السبب (reason argument). يُستخدم هذا الوسيط من قبل كل من RequestHandler.set_status و tornado.web.HTTPError، وهو مصمم للسماح للتطبيقات بتمرير عبارات "سبب" مخصصة (مثل عبارة "Not Found" في رد HTTP/1.1 404 Not Found) إلى سطر حالة HTTP (وذلك بشكل أساسي لرموز الحالة غير القياسية). تم إصلاح هذه المشكلة في الإصدار 6.5.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.