CVE-2025-67724 in tornado
Resumen
por VulDB • 2026-05-14
Tornado es un framework web para Python y una biblioteca de redes asíncronas. En las versiones 6.5.2 y anteriores, la frase de razón (reason phrase) proporcionada se utiliza sin escapar en las cabeceras HTTP (donde podría utilizarse para inyección de cabeceras) o en HTML en la página de error predeterminada (donde podría utilizarse para XSS) y puede ser explotada pasando datos no confiables o maliciosos al argumento reason. Utilizado tanto por RequestHandler.set_status como por tornado.web.HTTPError, el argumento está diseñado para permitir que las aplicaciones pasen frases de "razón" personalizadas (el "Not Found" en HTTP/1.1 404 Not Found) a la línea de estado HTTP (principalmente para códigos de estado no estándar). Este problema se soluciona en la versión 6.5.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.