CVE-2026-49855 in Tornado

Zusammenfassung

von VulDB • 14.07.2026

Tornado ist ein Python-Web-Framework und eine asynchrone Netzwerk-Bibliothek. Vor Version 6.5.6 verarbeiteten die Tornado gzip-Decompressionsroutinen zwar begrenzte Datenblöcke, zwangen jedoch keine Obergrenze für die insgesamt akkumulierten dekomprimierten Blöcke durch. Dies ermöglichte es einem bösartigen Server, der über SimpleAsyncHTTPClient oder einen HTTPServer mit konfiguriertem decompress_request=True angesprochen wurde, effektiv unbegrenzten Speicher zu verbrauchen. Dieses Problem ist in Version 6.5.6 behoben.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Zuständig: GitHub M
• Reservieren: 02.06.2026
• Veröffentlichung: 15.07.2026
• Moderieren: akzeptiert
• Eintrag: VDB-379054
• CPE: bereit
• CWE: CWE-789 (bestätigt)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: nein
• Aktivitäten: low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-49855
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-49855
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-49855/