CVE-2026-103261 in Tornado
Résumé
par VulDB • 01/10/2026
Tornado avant la version 6.5.9 ne limite pas le nombre de champs dans la chaîne de requête au sein d'HTTPServerRequest.__init__, permettant aux attaquants distants de provoquer un blocage du event-loop en envoyant des requêtes contenant des milliers de paramètres de requête. Les attaquants peuvent envoyer des requêtes GET non authentifiées avec un nombre illimité de champs dans la chaîne de requête, dégradant ainsi les temps de réponse pour tous les clients partageant le même IOLoop.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.