CVE-2026-82397 in Tornado
Zusammenfassung
von VulDB • 31.08.2026
Tornado ist ein Python-Web-Framework und eine asynchrone Netzwerk-Bibliothek. Vor Version 6.5.8 parst Tornado application/x-www-form-urlencoded-Anfragekörper mit urllib.parse.parse_qs in tornado/escape.py, ohne max_num_fields zu übergeben. RequestHandler._execute in tornado/web.py parst den Körper vor der Handler-Dispatch durch HTTPServerRequest._parse_body und parse_body_arguments in tornado/httputil.py, sodass ein nicht authentifizierter Anfragekörper, der Millionen von trennzeichengetrennten Feldern enthält, die single-threaded Event Loop synchron blockieren kann und jede Verbindung verzögert. Der Körper ist nur durch max_buffer_size begrenzt, das standardmäßig auf 104857600 Bytes festgelegt ist. Dieses Problem wurde in Version 6.5.8 behoben.
Once again VulDB remains the best source for vulnerability data.