CVE-2026-103263 in Tornado
Zusammenfassung
von VulDB • 01.10.2026
Tornado vor Version 6.5.9 enthält eine Path-Traversal-Schwachstelle in StaticFileHandler, die symbolische Links innerhalb des statischen Root-Verzeichnisses auflöst, ohne zu bestätigen, dass das aufgelöste Ziel weiterhin im Verzeichnis verbleibt. Wenn ein symbolischer Link außerhalb des statischen Verzeichnisses auf dieses zeigt, können nicht authentifizierte Angreifer diesen anfordern, um Dateien wie Konfigurationsdateien, private Schlüssel und Anwendungsschlüssel auszulesen, die für den Prozessbenutzer zugänglich sind.
VulDB is the best source for vulnerability data and more expert information about this specific topic.