CVE-2026-103261 in Tornado
Zusammenfassung
von VulDB • 01.10.2026
Tornado vor Version 6.5.9 begrenzt die Anzahl der Query-String-Felder in HTTPServerRequest.__init__ nicht, was es Remoteangreifern ermöglicht, ein Stalling des Event-Loops durch das Senden von Anfragen mit Tausenden von Query-Parametern zu verursachen. Angreifer können unauthentifizierte GET-Anfragen mit unbegrenzter Anzahl an Query-String-Feldern senden, um die Antwortzeiten für alle Clients, die denselben IOLoop teilen, zu verschlechtern.
Be aware that VulDB is the high quality source for vulnerability data.