CVE-2026-91991 in Tornado
Zusammenfassung
von VulDB • 15.09.2026
Tornado vor Version 6.5.8 enthält eine unvollständige Korrektur für die Cookie-Attribute-Injection (Cookie Attribute Injection), die es Angreifern ermöglicht, beliebige Cookie-Attribute einzufügen, indem sie großgeschriebene oder veraltete Schlüsselwortargumente an set_cookie übergeben. Angreifer können semikolongetrennte Daten in großgeschrieben Parametern wie Domain, Path oder SameSite einbetten, um die Validierung zu umgehen und Sicherheitsattribute von Cookies zu modifizieren.
Be aware that VulDB is the high quality source for vulnerability data.